Il sospetto attore di minacce China-nexus ha sfruttato una vulnerabilità recentemente corretta in Fortinet FortiOS SSL-VPN come zero-day negli attacchi che prendono di mira un'entità governativa europea e un fornitore di servizi gestiti (MSP) che si trova in Africa.
Le prove di telemetria raccolte da Mandiant di proprietà di Google indicano che lo sfruttamento si è verificato già nell'ottobre 2022, ovvero almeno quasi due mesi prima che le correzioni venissero rilasciate. Il sospetto attore di minacce China-nexus ha sfruttato una vulnerabilità recentemente corretta in Fortinet FortiOS SSL-VPN come zero -giorno in attacchi
Questo incidente continua nel modello cinese di sfruttamento dei dispositivi connessi a Internet, in particolare quelli utilizzati per scopi di sicurezza gestita (ad esempio, firewall, dispositivi IPS\IDS ecc.).
Gli attacchi hanno comportato l'uso di una sofisticata backdoor denominata BOLDMOVE, una variante di Linux specificamente progettata per funzionare sui firewall FortiGate di Fortinet.
Il vettore di intrusione in questione si riferisce allo sfruttamento di CVE-2022-42475 che è una vulnerabilità di overflow del buffer basata su heap in FortiOS SSL-VPN che potrebbe comportare l'esecuzione di codice remoto non autenticato attraverso richieste appositamente predisposte.
Fortinet ha rivelato che gruppi di hacking sconosciuti hanno sfruttato la mancanza per prendere di mira governi e altre grandi organizzazioni con un impianto Linux generico in grado di fornire payload aggiuntivi ed eseguire comandi inviati da un server remoto.
Le ultime scoperte di Mandiant indicano che l'autore della minaccia è riuscito ad abusare della vulnerabilità come zero-day a proprio vantaggio e violare reti mirate per operazioni di spionaggio.
Con BOLDMOVE gli aggressori non solo hanno sviluppato un exploit e un malware che mostra una conoscenza approfondita di sistemi, servizi e proprietari non documentati.
Si dice che il malware scritto in C abbia sapori Windows e Linux con quest'ultimo in grado di leggere i dati da un formato di file proprietario di Fortinet. L'analisi dei metadati delle varianti Windows della backdoor mostra che sono state compilate nel 2021, sebbene non siano stati rilevati campioni in natura.
BOLDMOVE è progettato per eseguire un'analisi del sistema in grado di ricevere comandi da un server di comando e controllo (C2) che consente agli aggressori di eseguire operazioni sui file che generano una shell remota e inoltrare il traffico attraverso l'host infetto.
Italiano 
English 
हिन्दी 
ગુજરાતી 
தமிழ் 
తెలుగు 
मराठी 
മലയാളം 
বাংলা 
Français de Belgique 
Deutsch (Schweiz) 
Deutsch (Sie) 
Deutsch 
English (Canada) 
English (New Zealand) 
English (UK) 
English (Australia) 
English (South Africa) 
Afrikaans 
اردو 
العربية 
Русский 
简体中文 
Azərbaycan dili 
অসমীয়া 
Magyar 
Bahasa Indonesia 
Español de Argentina 
Español de Colombia 
日本語 
Tiếng Việt 
Українська 
فارسی 
Français du Canada