¿Cuál es la amenaza?

FortiBleed es una campaña activa de robo de credenciales dirigida a los firewalls y VPN FortiGate conectados a internet. Los atacantes se centran en extraer información confidencial de autenticación directamente del dispositivo, en lugar de comprometer los equipos individuales.

La clave de la campaña reside en una herramienta personalizada conocida como FortiGateSniffer. Esta herramienta está diseñada para recopilar credenciales VPN, cookies de sesión y tokens de autenticación a medida que el sistema operativo de FortiGate los procesa. En lugar de explotar una única vulnerabilidad de día cero, los atacantes combinan vulnerabilidades previamente divulgadas, servicios de administración expuestos y credenciales débiles o reutilizadas. Este enfoque les permite obtener acceso inicial al dispositivo.

Una vez obtenido el acceso, los atacantes utilizan FortiGateSniffer o técnicas similares para interceptar los datos de autenticación en la memoria o durante los flujos de inicio de sesión de la VPN. A medida que los usuarios remotos se autentican en la VPN SSL u otros servicios de acceso, la herramienta captura las credenciales antes de que el sistema las proteja o descarte por completo.

En algunos casos, los atacantes pueden extraer información de sesión almacenada en caché. Esto les permite reutilizar sesiones VPN activas sin necesidad de volver a autenticarse. Esta técnica es particularmente sigilosa, ya que no requiere malware persistente en los dispositivos de los usuarios. Además, puede operar dentro de los procesos normales de autenticación y registro del firewall.

Tras obtener las credenciales, los atacantes recurren a la repetición y persistencia de credenciales. Los nombres de usuario y contraseñas de VPN robados se utilizan para establecer conexiones VPN legítimas. Estas conexiones suelen originarse en una infraestructura similar a la de los equipos de trabajo remotos habituales de la organización.

Dado que los atacantes utilizan credenciales válidas, es posible que los controles de seguridad no detecten la actividad como sospechosa. A partir de ahí, pueden enumerar redes internas, acceder a recursos compartidos de archivos y aplicaciones internas, e implementar herramientas adicionales. Este enfoque permite a los ciberdelincuentes mantener un acceso prolongado y discreto al entorno. Además, les ayuda a eludir los mecanismos de detección tradicionales, que se centran en intrusiones basadas en exploits en lugar de en el abuso de credenciales.

¿Por qué es digno de mención?

Este informe de amenazas es relevante porque apunta a la infraestructura de seguridad perimetral. Estos sistemas suelen gozar de confianza implícita y se les otorga un amplio acceso a las redes internas. La vulneración de un firewall o un dispositivo VPN puede socavar una de las capas de seguridad más críticas y reducir la eficacia de las defensas posteriores.

Además, FortiBleed destaca el riesgo constante que supone la obtención de credenciales en el perímetro de la red. Esto sigue siendo cierto incluso en ausencia de una nueva vulnerabilidad de día cero. Al aprovechar los servicios expuestos y las debilidades previamente conocidas, los atacantes pueden obtener credenciales válidas de forma silenciosa y reutilizarlas para obtener acceso a largo plazo. Esto dificulta la detección en comparación con los ataques tradicionales de fuerza bruta o basados en exploits.

¿Cuál es la exposición o el riesgo?

Las organizaciones que utilizan dispositivos FortiGate con acceso a internet corren el riesgo de sufrir filtraciones de credenciales y accesos no autorizados a la red. En algunas configuraciones, las credenciales VPN o administrativas robadas pueden utilizarse para eludir la autenticación multifactor. Además, pueden permitir el movimiento lateral y facilitar la exfiltración de datos o la implementación de ransomware.

Dado que los atacantes suelen autenticarse con credenciales válidas, la actividad maliciosa puede parecer legítima. Esto puede aumentar el tiempo de permanencia del atacante y amplificar el impacto de una brecha de seguridad.

El futuro de la seguridad comienza antes del malware

• Actualizaciones y parches: Asegúrese de que los dispositivos FortiGate ejecuten las versiones más recientes de FortiOS.
• Restringir el acceso de administración: Desactive la exposición a Internet de las interfaces administrativas y limite el acceso a rangos de IP de confianza.
• Rotar credenciales: Restablezca las credenciales de la VPN, de la cuenta administrativa y de la cuenta de servicio, especialmente si se sospecha de una posible exposición.
• Implementar la autenticación multifactor: Exigir la autenticación multifactor para el acceso VPN y administrativo.
• Segmentación de red: Limite el acceso de los usuarios de VPN únicamente a los recursos internos necesarios.

La respuesta se envía de vuelta a su ordenador, que la reenvía al usuario no autorizado.

En muchos casos, los usuarios autorizados no se dan cuenta de que su ordenador ha sido comprometido. 

Las redes proxy residenciales están compuestas por cientos o miles de direcciones IP residenciales. Por lo general, son administradas por proveedores o empresas de alojamiento web que no preguntan cómo sus clientes utilizan estas IP ni por qué necesitan acceso residencial.

El valor de estas direcciones IP residenciales reside en su autenticidad, algo que la infraestructura de proxy tradicional no puede replicar fácilmente.

Consideremos dos llamadas telefónicas. Una es de un amigo de confianza que te dice que consiguió una gran oferta en un producto que ambos buscaban y dónde encontrarlo en línea. La otra es de una empresa con la que ya has tenido contacto, ofreciéndote la misma información. Si bien el contenido es el mismo, la fuente es diferente. Es más probable que confíes en alguien que conoces que en alguien que no conoces.

Las direcciones IP residenciales ofrecen el mismo tipo de confianza a las organizaciones. Si solicitan información (aparentemente) a usuarios residenciales, estos tienden a confiar en ellas.

Si bien existen casos de uso legítimos para las redes de proxy residenciales, como el anonimato en línea para una mayor protección individual o la monitorización SEO en múltiples ubicaciones para empresas, estas redes suelen estar gestionadas por empresas que no se preguntan qué hacen los usuarios ni por qué. 

Esto ofrece múltiples oportunidades para los actores malintencionados, entre ellas:

• Infracciones de derechos de autor
• Fraude publicitario y fraude de clics
• Eludir los sistemas antifraude
• Ataques de pulverización de contraseñas y credenciales
• Difundir desinformación en las redes sociales

Google contra IPIDEA: perturbando las operaciones de proxy residenciales

Una de las mayores redes de proxy residenciales del mundo era IPIDEA. Operada por una empresa con sede en China, esta red secuestró millones de dispositivos de usuarios finales sin su consentimiento. Entre estos dispositivos se incluían ordenadores, teléfonos inteligentes y televisores inteligentes. Mediante kits de desarrollo de software (SDK), IPIDEA pudo instalar su programa proxy en dichos dispositivos. 

En algunos casos, la empresa pagaba a los desarrolladores para que incluyeran estos SDK en sus aplicaciones, lo que a su vez infectaba los dispositivos. IPIDEA también ofrecía VPN "gratuitas" que instalaban el software proxy al usarse e integraban sus SDK en aplicaciones y juegos gratuitos. Si bien IPIDEA y redes similares suelen afirmar públicamente que sus proxies residenciales se obtienen de forma legítima y con consentimiento, el análisis de los SDK de IPIDEA demostró que estaban diseñados para integrarse en otras aplicaciones sin ningún mecanismo de consentimiento.

Para ayudar a reducir el riesgo de ataques de proxy residenciales e impedir las operaciones de IPIDEA, el Grupo de Inteligencia de Amenazas de Google (GTIG) llevó a cabo tres acciones:

1. Se desactivaron los dominios utilizados para controlar dispositivos y tráfico proxy.
2. Compartir información sobre los kits de desarrollo de software IPIDEA y las herramientas de software proxy con las fuerzas del orden y las empresas de investigación para mejorar la concienciación y la aplicación de la ley.
3. Se garantizó que Google Play Protect para dispositivos Android advirtiera automáticamente a los usuarios sobre las aplicaciones IPIDEA, eliminara estas aplicaciones si estaban instaladas y bloqueara cualquier intento de instalación futuro. 

Según Google, estos esfuerzos conjuntos han provocado una degradación significativa de la red proxy y las operaciones comerciales de IPIDEA, reduciendo en millones el número de dispositivos disponibles para los operadores de proxy. Si bien esto no elimina la amenaza que representan IPIDEA y redes proxy similares, las acciones de Google han dificultado que los ciberdelincuentes instalen y operen servidores proxy sin el consentimiento del usuario. 

Cómo protegerse de los testaferros residenciales

Si tu dispositivo se ve comprometido por un proxy residencial que luego es utilizado por un atacante malintencionado, podrías verte involucrado en investigaciones policiales o de fraude. Además, estos proxies pueden contener malware y otras cargas maliciosas que afecten el funcionamiento de tu dispositivo.

Para protegerse se recomienda:

• Evitar los servicios de transmisión de TV que afirman ofrecer contenido gratuito, como películas o deportes.
• Hay que tener precaución al usar cualquier servicio VPN, especialmente los gratuitos.
• Utilizar únicamente tiendas de aplicaciones de confianza y aplicaciones de editores reconocidos.

• Asegurarse de que todos los sistemas operativos, aplicaciones y herramientas de seguridad estén actualizados.

Análisis de la Amenaza

Con datos recopilados por StepSecurity, se publicaron dos versiones comprometidas de Axios la 1.14.1 y la 0.30.4 utilizando las credenciales robadas del responsable del mantenimiento. Esto permitió a los atacantes eludir el sistema de integración y entrega continua (CI/CD) de GitHub Actions de Axios. El único propósito de esta dependencia inyectada era ejecutar un script posterior a la instalación que funciona como un troyano de acceso remoto (RAT) multiplataforma. Una vez instalado, ataca sistemas macOS, Windows y Linux durante el proceso normal de instalación de paquetes.

No solo es la vulnerabilidad es el contexto de la misma

Tras infiltrarse en el sistema, el programa malicioso de acceso remoto (RAT) se conecta a un servidor de comando y control (C2) activo, que descarga una carga útil de segunda fase específica para la plataforma. Una vez ejecutado, el malware se autoelimina y reemplaza el paquete infectado con una versión limpia para evitar la detección forense.

Este nivel de autolimpieza demuestra una mayor sofisticación en comparación con los ataques más comunes a la cadena de suministro, ya que reduce significativamente los indicadores visibles de compromiso y dificulta la detección y la investigación.

Exposición y Riesgo Organizacional

Este tipo de incidentes refuerza una realidad incómoda:

• Información confidencial expuesta.
• Ataque directo a endpoints.
• Ataque a entornos de producción.

Estrategias de Mitigación

Las acciones inmediatas son claras:

Barracuda CloudGen Firewall

Barracuda CloudGen Firewall Mantenga su comunicación segura y libre de manipulaciones. Los datos se almacenan en un repositorio dedicado fuera de su entorno operativo, garantizando conservación a largo plazo sin riesgos de corrupción o eliminación accidental. Ofrece un conjunto completo de tecnologías de firewall de última generación para garantizar la protección de la red en tiempo real contra amenazas avanzadas.

Compra ahora * Suscripción Anual