Cring勒索软件现在对Fortinet OS漏洞发动攻击

上周Fortinet OS漏洞传出有国家黑客攻击,安全厂商本周又发现,现已有手法高超且手法凶狠的黑客,更锁定未修补的Fortinet VPN产品感染勒索软件Cring,至少一家客户因此产线中断。

美国政府上周警告,一个高端渗透威胁(Advanced Persistent Threat,APT)组织正在扫描Fortinet的传输端口4443、8443、10443,寻找操作系统软件FortiOS上的漏洞CVE-2018 -13379,并针对Fortinet设备进行枚举分析(enumerate),以开采CVE-2019-5591和CVE-2020-12812。已有多家政府、商业组织及网络服务商遭到锁定。Fortinet已经发布修补程序,美国政府也呼吁用户应尽快修补。

而卡巴斯基安全研究中心昨天发布公告,他们发现一只名为Cring的勒索软件正在开采Fortinet SSL VPN设备FortiGate上的漏洞。受害企业包括数家欧洲工业厂商,至少有一家受害企业因为控制生产流程的服务器遭到加密,导致产线暂时中断。

Cring今年1月首次由瑞士电信旗下的安全部门披露。它又称Crypt3r、Vjiszy1lo、Ghost、或Phantom,是由黑客人为操作以感染受害机器。

在主要攻击前几天,攻击者已经针对FortiGate VPN进行先导测试,他们可能是借由扫描IP地址,或是从地下论坛上购买有漏洞的FortiGate的IP地址以寻找攻击目标。去年秋天一个暗网中的论坛,曾经有人购买了这个产品的IP数据库。

图片来源/卡巴斯基

研究人员分析,这次黑客对FortiGate设备展开的跨目录穿越(directory traversal)攻击,经过一连串的恶意程序下载,最后植入Cring。首先,攻击者开采FortiOS的CVE-2018-13379漏洞,他们借此汲取通过VPN网关的连接文件sslvpn_websession,后者内置用户名和明文密码,借此黑入访问企业网络。之后,再利用Mimikatz取得Windows用户帐密,并以Cobalt Strike渗透测试模块破解域名管理员账号,再下载cmd script,借此安装并启动Cring勒索软件。

图片来源/卡巴斯基

研究人员发现黑客手法十分高超。除了以合法程序文件名掩护安装Cring执行文件外,为了能在受害系统上肆虐加密,Cring还会移除资料备份,关闭备份软件、终止mspub.exe、mydesktopqos.exe. 与mydesktopservice.exe三项程序。此外它还切断SstpSvc服务,以免管理员及时对外通报或求援。

Cring本身则能以强加密算法加密文件,若是没有黑客持有的8192 -bit RSA密钥将无法解密文件。它加密的文件类型涵盖Word、Excel、PPT、PDF、.zip、.rar、.PHP、.ASPX及备份档等10多种类型。

研究人员建议企业用户尽快安装更新版FortiOS、安全软件、做好备份,此外也建议限制使用VPN的设备及传输端口、并限制用户对目录访问。

发表评论