De tar över dina brandväggar – och låser dig ute ur ditt eget nätverk
En pågående cyberattackskampanj har komprometterat över 86 600 nätverksenheter i 194 länder – och angriparna nöjer sig inte med att ta sig in. Kampanjen, kallad FortiBleed, riktar sig mot Fortinets brandväggar och VPN-lösningar, varefter angriparna raderar lösenord och användarkonton för att permanent låsa ut de drabbade organisationerna från sin egen infrastruktur. Bakom attackerna uppges en rysk aktör stå, med affärsmodellen att sälja det kapade nätverkstillträdet vidare till andra kriminella.
En attack som inte stannar vid intrånget
De flesta cyberattacker följer ett välkänt mönster: ta sig in, stjäl data, försvinn. FortiBleed bryter mot det mönstret på ett sätt som bör få alla nätverksansvariga att spetsa öronen.
Enligt säkerhetsföretaget SOCRadar, som rapporteras av SecurityWeek, har drygt 86 600 enheter i 194 länder komprometterats i den pågående kampanjen. Det handlar om internetanslutna brandväggar och VPN-lösningar från Fortinet – alltså just den typ av utrustning som är tänkt att skydda organisationers nätverk. Ironin är inte subtil.
Det som gör situationen särskilt allvarlig är nästa steg i angriparnas spelbok: de raderar eller ändrar lösenord och användarkonton för att hålla de drabbade organisationerna utestängda från sin egen infrastruktur. FBI och den amerikanska underrättelsetjänsten USSS har gått ut med en gemensam säkerhetsvarning om just detta beteende. Angriparna rör sig dessutom aktivt vidare in i de komprometterade nätverken – intrånget är alltså inte ett slutmål utan en språngbräda.
Så byggs attacken upp
Det tekniska tillvägagångssättet är metodiskt och välstrukturerat. Angriparna – som enligt uppgift utgörs av en rysk aktör med affärsmodellen att sälja initialt nätverkstillträde till andra kriminella – kombinerar flera tekniker:
- Skanning av internet efter exponerade VPN-portaler
- Insamling av inloggningsuppgifter från tidigare dataintrång och så kallade informationsstjälare (skadlig programvara som läcker lösenord och sessionsdata)
- Lokal lösenordsknäckning av krypterade uppgifter
- Kartläggning av attackytan för att undvika säkerhetsfällor
Fungerade konfigurationer och mållistor säljs sedan vidare på kriminella forum. Det handlar alltså om en kommersialiserad attackkedja – inte en enstaka aktör utan ett helt ekosystem av brottslingar som delar på arbetet och vinsten.
Kampanjen inleddes i juni och är alltså inte ny – men den växer fortfarande. Det är ett tecken på att alltför många organisationer ännu inte har åtgärdat de grundläggande brister som möjliggör intrången.
Vad organisationer bör göra nu
FBI och USSS är tydliga i sin uppmaning: drabbade organisationer måste omedelbart identifiera komprometterade enheter och återta kontrollen. Men det förutsätter att man vet om man är drabbad – och det är långt ifrån självklart när angriparna aktivt döljer sina spår och låser ute IT-personal.
Ur ett systemutvecklingsperspektiv finns det några lärdomar som är svåra att blunda för:
Exponering är en skuld. Varje internetansluten enhet som inte aktivt hanteras och uppdateras är ett potentiellt intrångshål. Fortinets produkter är välkända och välstuderade – både av legitima säkerhetsforskare och av angripare.
Återanvända och läckta lösenord är fortfarande ett massivt problem. Att angriparna kombinerar gamla dataintrång med råstyrkeattacker och lyckas – i den här skalan – säger något om hur dåligt lösenordshygienen fortfarande är i många organisationer, inklusive sådana som borde veta bättre.
Kritisk infrastruktur skyddas inte av att den är komplex. Tvärtom: ju mer komplex en miljö är, desto svårare är det att hålla koll på vad som är exponerat.
Det finns också en strukturell observation värd att göra: den här typen av tillträdesmäklare – aktörer som specialiserar sig på att ta sig in och sedan sälja åtkomsten vidare – har blivit en allt viktigare del av det kriminella ekosystemet. De sänker tröskeln för andra angripare, inklusive sådana som saknar teknisk kompetens att genomföra intrången själva.
FortiBleed är inte en isolerad händelse. Det är ett symptom på ett bredare mönster där exponerad nätverksinfrastruktur systematiskt kartläggs, utnyttjas och säljs – i industriell skala.
Vår analys
FortiBleed är en av de tydligaste påminnelserna på länge om att tillgänglighet och säkerhet ofta drar åt olika håll – och att det är infrastrukturlagret som betalar priset när organisationer misslyckas med att balansera dem.
Det som är särskilt anmärkningsvärt här är inte själva intrånget, utan vad angriparna gör efteråt. Att aktivt låsa ut ägaren från sin egen utrustning är en eskalering som liknar ransomware i logik – men utan ett direkt krav på lösensumma. Syftet är istället att maximera den tid angriparna kan röra sig obehindrat i nätverket.
Framöver lär vi se mer av den här typen av kommersialiserade attackkedjor. AI-verktyg börjar dessutom användas för att automatisera skanningar och lösenordsknäckning i ännu större skala. Det ställer krav på att försvarssidan – inte minst offentlig sektor och kritisk infrastruktur – investerar i kontinuerlig övervakning och proaktiv sårbarhetsstyrning, snarare än reaktiva åtgärder efter att skadan redan är skedd.