The Shadowserver Foundation ha descubierto una sofisticada campaña de ciberataques que ha comprometido más de 16.620 dispositivos Fortinet a nivel mundial. Los atacantes han implementado una técnica avanzada utilizando enlaces simbólicos para mantener el acceso persistente a los sistemas comprometidos, incluso después de que las vulnerabilidades iniciales hayan sido parcheadas.

Metodología del Ataque y su Impacto en la Seguridad

Los ciberdelincuentes han explotado vulnerabilidades en dispositivos FortiGate VPN mediante una técnica innovadora que involucra la creación de enlaces simbólicos en los directorios de archivos de idioma. Estos enlaces apuntan al sistema de archivos raíz de los dispositivos con SSL-VPN habilitado, permitiendo a los atacantes mantener el acceso a archivos del sistema a través del panel web público de SSL-VPN, incluso después de la aplicación de parches de seguridad.

Respuesta de Fortinet y Medidas de Mitigación

En respuesta a esta amenaza, Fortinet ha implementado contramedidas inmediatas, incluyendo el lanzamiento de una nueva firma de detección para identificar y eliminar los enlaces simbólicos maliciosos. Además, la compañía ha publicado una actualización de firmware que no solo elimina los enlaces maliciosos existentes, sino que también previene la transferencia no autorizada de archivos a través del servidor web integrado.

Protocolo de Acción Recomendado

Los expertos en ciberseguridad recomiendan que los administradores de sistemas implementen las siguientes medidas de seguridad críticas:
– Actualización inmediata a la última versión del firmware
– Reseteo completo de credenciales en todos los dispositivos afectados
– Realización de una auditoría exhaustiva de configuraciones
– Implementación del protocolo oficial de limpieza para sistemas comprometidos

Esta campaña de ataques representa una evolución de las amenazas identificadas durante 2023, no una nueva vulnerabilidad. Es crucial destacar que los atacantes podrían haber obtenido acceso a archivos de configuración recientes, incluyendo credenciales sensibles. Por tanto, se recomienda una revisión completa de todos los sistemas afectados y la implementación de nuevas credenciales de acceso, incluso en aquellos dispositivos que ya hayan sido limpiados y actualizados.