Implantul FortiGate ascuns permite acces îndelungat în rețeaua telecom

Ce a descoperit ancheta?

În septembrie 2024, un furnizor de telecomunicații a fost victima unui atac sofisticat. Ancheta a identificat un implant persistent în echipamentele FortiGate, prin care atacatorii au controlat infrastructura țintei timp de luni întregi.

Autoritățile suspectează un grup susținut de stat, denumit de Palo Alto Networks UNC5820 (CL‑STA‑0954). Echipa a exploatat mai multe vulnerabilități ale Fortinet pentru a pătrunde inițial și a lansa implantul stealth.

Cine stă în spatele atacului?

Implantul a folosit zero‑day‑uri în dispozitivele FortiGate, ocolind controalele de securitate obișnuite. Odată instalat, a creat un canal de comandă‑și‑control criptat, camuflat în traficul legitim. Mecanismele de persistență au modificat regulile firewall‑ului și au dezactivat jurnalizarea, împiedicând monitorizarea standard să semnaleze prezența amenințării.

Incidentul arată cât de vulnerabilă este infrastructura critică la intervenții sponsorizate de state. Accesul pe termen lung permite colectarea de date sensibile, perturbarea serviciilor sau extinderea atacului către alte segmente ale rețelei.

Cum a reușit implantul să treacă neobservat?

Operatorii de telecom trebuie să acorde o atenție sporită actualizărilor de firmware și să implementeze monitorizare continuă.

Î: Ce vulnerabilități Fortinet au fost exploatate?

R: Nu au fost divulgate CVE‑urile exacte, dar s‑au folosit mai multe zero‑day‑uri ce ofereau execuție de cod la distanță pe dispozitivele FortiGate.

Ce înseamnă asta pentru securitatea telecom?

Î: Cât timp a rămas activ implantul? R: Implantul a persistat câteva luni înainte de a fi detectat, oferind atacatorilor acces prelungit.

Î: Ce măsuri ar trebui să ia furnizorii de telecom? R: Patch‑uri imediate ale firmware‑ului FortiGate, segmentarea rețelei și implementarea unor soluții avansate de detectare a amenințărilor sunt esențiale pentru a preveni incidente similare.