Хакер опубликовал учётные данные 500 тыс. VPN-устройств Fortinet

[Ippolitovich]

Стало известно, что администратор форума RAMP и бывший оператор хакерской группировки Babuk опубликовал в интернете логины и пароли 500 тыс. скомпрометированных VPN-устройств компании Fortinet. Программные уязвимости в них устранены разработчиками, но администраторы так и не сменили данные для доступа к ним. Архив размещён участниками группировки Groove, за которой, как предполагается, стоят операторы распавшейся Babuk.

 

По данным источника, данные для доступа к VPN-устройствам собирались в течение нескольких месяцев. Отмечается, что перед публикацией реквизиты были проверены на соответствие и работоспособность. Согласно имеющимся данным, хакер использовал уязвимость операционной системы FortiOS, которая отслеживалась под идентификатором CVE-2018-13379. Эта уязвимость затрагивала устройства серии Fortigate и позволяла неавторизованным пользователям скачивать системные файлы с помощью специальных HTTP-запросов.

 

 

Стоит отметить, что с весны 2021 года упомянутая уязвимость FortiOS вместе с двумя другими (CVE-2019-5591 и CVE-2020-12812) активно эксплуатировались разными хакерскими группировками. Вредоносные кампании привлекли внимание ФБР и Агентства по безопасности цифровой инфраструктуры (CISA) США, которые выпустили соответствующее предупреждение об атаках на устройства производства Fortinet. Источник отмечает, что опубликовавший базу учётных записей VPN-устройств представитель группировки Groove носит тот же псевдоним SongBird, что и бывший оператор группировки Babuk и администратор форума RAMP, который специализировался на вымогательском программном обеспечении. Другой источник называет автора публикации Orange, но и там упоминается его причастность к хакерам из Babuk и форуму RAMP.