Criminelen kraken wachtwoorden van 74.000 Fortinet-firewalls

[Captain Kirk]

Criminelen hebben de wachtwoorden van 74.000 Fortinet-firewalls gekraakt en bieden de toegang nu aan op internet, zo waarschuwen beveiligingsonderzoekers. Het zou ook gaan om Nederlandse organisaties, waaronder onderwijsinstellingen en overheidsinstanties, zo claimt cybersecuritybedrijf Hudson Rock in een blogposting.

Volgens Hudson Rock weten de criminelen actief 'SSL VPN authentication hashes' te onderscheppen. Vervolgens worden de hashes door middel van een cluster bestaande uit 45 GPU's gekraakt. Zodra de aanvallers toegang hebben proberen ze naar interne Active Directory-omgevingen te bewegen en zo verdergaande toegang te krijgen. Verdere details over de aanvallen geeft Hudson Rock niet, behalve dat allerlei bekende bedrijven en organisaties zijn getroffen, waaronder Samsung, PwC, Lenovo, Siemens, Accenture en Oracle. Het cybersecuritybedrijf laat ook weten dat Nederlandse organisaties zijn getroffen.

De gestolen inloggegevens worden nu op internet aangeboden, zo meldt de Britse beveiligingsonderzoeker Kevin Beaumont. Hij stelt dat de aangeboden data echt is. Volgens de onderzoeker weten de aanvallers op nog onbekende wijze de configuratie van Fortinet-firewalls te dumpen en vervolgens de wachtwoordhashes te kraken.

 

Update

Beaumont heeft inmiddels meer informatie over de aanvallen gepubliceerd. Hij merkt op dat aanvallers via de gecompromitteerde inloggegevens remote toegang tot de firewall en achterliggende netwerk kunnen krijgen. Beaumont herhaalt dat het nog altijd onbekend is hoe de aanvallers de firewallconfiguratie weten te dumpen. Wel maakt Fortinet sinds een jaar gebruik van het PBKDF2-algoritme voor het hashen van wachtwoorden, wat het kraken van hashes veel lastiger maakt.

 

De nieuwe hashingmethode gebruikt de firewall echter alleen als beheerders na het installeren van de updates ook hebben ingelogd, aldus de beveiligingsonderzoeker. Daardoor kan het dat veel Fortinet-firewalls nog steeds wachtwoorden via SHA-256 met een salt hebben opgeslagen, wat de gemaakte hashes kwetsbaar maakt voor bruteforce-aanvallen, voegt Beaumont toe.

 

bron: https://www.security.nl