Une vaste campagne vise les pare-feu d'entreprise Fortinet et Palo Alto : plus de 70 000 identifiants seraient exposés.

Une campagne de grande ampleur cible les pare-feu d’entreprise exposés sur Internet. Des chercheurs en cybersécurité viennent d’en détailler les contours. Les équipements visés comprennent notamment les pare-feu Fortinet FortiGate et Palo Alto Networks GlobalProtect. Au total, plus de 70 000 identifiants seraient concernés.

Ce dossier rappelle une réalité simple. En effet, les appareils placés en bordure de réseau constituent une porte d’entrée de choix pour les attaquants.

Une campagne de grande ampleur contre les pare-feu d’entreprise

Les chercheurs décrivent une opération à l’échelle mondiale. Ainsi, elle s’attaque à des équipements de périphérie directement accessibles depuis Internet. Autrement dit, il s’agit de pare-feu et de passerelles VPN, des outils censés protéger le réseau interne.

Deux produits sont cités en exemple. D’abord, il y a Fortinet FortiGate. Ensuite, on trouve Palo Alto Networks GlobalProtect. Ces solutions sont très répandues dans les entreprises. Elles sont donc des cibles attractives.

Le volume est impressionnant. Plus de 70 000 identifiants sont évoqués. Par conséquent, la campagne ne relève pas d’une attaque ciblée sur une seule organisation. Elle ressemble plutôt à une opération menée à grande échelle.

Les éléments transmis ne détaillent toutefois pas tous les aspects techniques. Aucun identifiant CVE n’est mentionné à ce stade. De plus, aucun groupe malveillant n’est nommé. Il convient donc de rester prudent sur les méthodes exactes employées.

Des accès obtenus dans de nombreuses organisations

L’enquête a livré des artefacts précieux. Selon les chercheurs, ils indiquent que les opérateurs ont obtenu un accès à de nombreuses organisations dans le monde. Ce constat est important. En effet, il ne s’agit pas seulement de listes de données volées. Des accès réels ont été établis.

Par ailleurs, les attaquants ne se sont pas arrêtés là. Les artefacts montrent qu’ils ont tenté de compromettre davantage certaines victimes. Cette étape supplémentaire est typique d’une intrusion qui progresse. En effet, une fois dans le réseau, l’attaquant cherche à étendre son emprise.

Plusieurs objectifs sont alors possibles. D’abord, il peut explorer les systèmes internes. Ensuite, il peut chercher des comptes plus privilégiés. Enfin, il peut préparer une action plus destructrice. Toutefois, ces scénarios restent des hypothèses générales, et non des faits confirmés dans cette affaire.

Pourquoi les équipements de périphérie attirent les attaquants

Un pare-feu ou un VPN se situe à la frontière du réseau. Il est exposé par nature. De plus, il traite en continu les authentifications des employés et des administrateurs.

Ainsi, un identifiant valide pour un VPN peut suffire à entrer dans l’entreprise. L’attaquant n’a pas besoin d’exploiter un logiciel malveillant visible. Il se connecte comme un utilisateur légitime. Cette discrétion complique donc la détection.

Ces équipements présentent un autre inconvénient. Ils sont souvent moins surveillés que les postes de travail. En outre, beaucoup n’embarquent pas d’outil de détection classique. Par conséquent, une compromission peut passer inaperçue pendant longtemps.

La gestion des correctifs pose également problème. En effet, mettre à jour un pare-feu peut interrompre un service critique. Certaines équipes retardent donc l’opération. Pourtant, ce délai offre une fenêtre d’opportunité aux attaquants.

Comment protéger ses pare-feu d’entreprise

Les organisations disposant de ces équipements doivent agir sans attendre. D’abord, il faut vérifier si leurs appareils FortiGate ou GlobalProtect sont exposés. Ensuite, il convient de contrôler les journaux de connexion. Enfin, les accès inhabituels doivent être examinés de près.

Plusieurs mesures générales s’imposent également :

• Réinitialiser les mots de passe des comptes liés aux pare-feu et aux VPN, en priorité ceux des administrateurs.
• Activer ensuite l’authentification multifacteur sur tous les accès distants.
• Appliquer sans délai les mises à jour de sécurité publiées par Fortinet et Palo Alto Networks.
• Limiter également l’accès aux interfaces d’administration, qui ne doivent pas être ouvertes à tout Internet.
• Enfin, surveiller les comptes créés ou modifiés récemment.

En outre, les équipes de sécurité devraient rechercher des signes de mouvement latéral. Par exemple, une connexion VPN suivie d’une exploration du réseau interne doit alerter. Toute activité suspecte justifie donc une enquête approfondie.

Ce qu’il faut retenir

• Une campagne mondiale vise les pare-feu et VPN exposés, dont Fortinet FortiGate et Palo Alto Networks GlobalProtect.
• Plus de 70 000 identifiants sont concernés.
• Les opérateurs ont obtenu des accès dans de nombreuses organisations et ont tenté de compromettre davantage certaines victimes.
• Les équipements de périphérie restent une cible prioritaire, car ils ouvrent directement sur le réseau interne.
• Ainsi, la réinitialisation des identifiants, l’authentification multifacteur et les mises à jour réduisent fortement le risque.

Cette affaire illustre une nouvelle fois la valeur des accès distants pour les attaquants. C’est pourquoi les entreprises gagneraient à traiter leurs pare-feu comme des actifs critiques, surveillés et mis à jour en continu.

Source : Hackers Breach Enterprise Firewalls and VPNs, Exposing Over 70,000 Credentials