Hackers lekken configuraties en vpn-inloggegevens van 15.000 FortiGate-apparaten

De configuratiebestanden, IP-adressen en vpn-inloggegevens van ruim 15.000 FortiGate-apparaten zijn op het darkweb gelekt. De data werd gelekt door de Belsen Group, een nieuwe hackersgroep. De data lijkt in 2022 te zijn verzameld.

De gelekte data wordt gratis weggegeven door de groepering, schrijft het Duitse Heise. Het gaat om gebruikersnamen, wachtwoorden – waarvan een deel in plaintext beschikbaar is – digitale certificaten voor apparaatbeheer en alle firewallregels. De gestolen data komt van apparaten uit 145 verschillende landen. De grootste groep, van 1603 configuraties, komt uit Mexico. Verder zijn gegevens van 679 Amerikaanse FortiGate-apparaten gestolen en 208 uit Duitsland. Of en hoeveel Nederlandse en Belgische apparaten getroffen zijn, is onbekend.

Heise en beveiligingsonderzoeker Kevin Beaumont analyseerden de data en stellen dat gegevens in oktober 2022 zijn verzameld. Waarschijnlijk gebeurde dat door misbruik van de kwetsbaarheid CVE-2022-40684, die destijds werd ontdekt en door FortiGate-maker Fortinet werd gedicht. Het lek zat in de FortiOS-firmware van 7.0.0 tot en met 7.0.6 en van 7.2.0 tot en met 7.2.2.

Waarom het datalek nu pas naar buiten is gebracht, is niet duidelijk. Beaumont benadrukt echter dat het datalek wel om actie vraagt. "Zelfs als je de patch in 2022 hebt geïnstalleerd, bestaat de mogelijkheid dat je systeem toch gecompromitteerd is, aangezien de configuraties jaren geleden zijn gelekt en nu pas zijn vrijgegeven. Het is waarschijnlijk verstandig om uit te zoeken wanneer je deze kwetsbaarheid precies hebt gepatcht.

De data werd gelekt door de Belsen Group, volgens Bleeping Computer nog een relatief nieuwe hackersgroepering. De Belsen Group verscheen deze maand pas voor het eerst op sociale media en cybercrimeforums. Het eerste datalek is bedoeld om 'de naam van onze groep in jullie geheugen te verankeren', aldus de groepering in een forumbericht. Waar de groep vandaan komt, is onduidelijk.

Fortinet waarschuwde deze week ook voor een actief misbruikte zeroday in zijn FortiGate-firewalls. Met deze kwetsbaarheid krijgen aanvallers op afstand superadminprivileges door malafide verzoeken te doen aan de Node.js-websocketmodule. Deze kwetsbaarheid lijkt echter niet gerelateerd aan het datalek van de Belsen Group, maar een losstaand probleem te zijn.

Reacties (51)

[Mirano]

Voor degene die wilt controleren of ze in de eerste publieke leak zitten:

https://github.com/arsolu...ate-belsen-leak/tree/main

In January 2025, configurations from approximately 15,000 affected devices were publicly released by the Belsen Group.

[Reactie gewijzigd door Mirano op 16 januari 2025 09:22]

[Kees]

Ik tel 443 nederlandse IP's en 242 belgische IP's in die lijst.

Het kan zijn (omdat de data uit 2022 komt) dat er een paar veranderingen zijn geweest.

[Reactie gewijzigd door Kees op 16 januari 2025 14:02]

[moppentappers]

Ik ben een powershell aan het maken om te kijken welke Nederlandse IP adressen nog steeds open staan, dan is het wellicht nog mogelijk om die bedrijven te informeren dat er iets mis is.

Tegelijkertijd is het voor ons als MSP misschien wel een idee om te zorgen dat we een lijst hebben met de IP adressen van alle verbindingen en gaan controleren of bepaalde poorten open staan.

[jordeeeh]

Hier zitten ook IP adressen van KPN bij (bijv. beginnend met 92.67), dus logischerwijs is te concluderen dat er ook Nederlandse apparaten getroffen zijn.

[anpat]

Net voor de grap is een random IP geprobeerd en kom daadwerkelijk op 1 van de Fortinet Management site uit
Dat hang je toch niet by default aan het internet? WTH

[CAPSLOCK2000]

Net voor de grap is een random IP geprobeerd en kom daadwerkelijk op 1 van de Fortinet Management site uit
Dat hang je toch niet by default aan het internet? WTH

Er wordt nog wel eens de fout gemaakt om een mooie doos te kopen in de gedachte dat je dan kan besparen op personeel, maar te vergeten dat zo'n apparaat ook werk oplevert. Niet alleen moet het systeem ingericht en beheerd worden, maar een securitysysteem zal allerlei alarmen geven waar je iets mee moet. Dat is goed voor de veiligheid van de organisatie en op lange termijn betaalt zich dat terug, maar op korte termijn heb je extra werk om alle nieuw gevonden problemen op te lossen.

Zo'n Fortigate is in de juiste handen een krachtig gereedschap, maar een gereedschap blijft een hulpmiddel. De vaardigheid van de gebruiker is uiteindelijk de doorslaggevende factor. Wie zo'n apparaat koopt in plaats van personeel zal van een koude kermis thuiskomen.

[aadje93]

maar een default config die hem dan blijkbaar open gooit naar de WAN zijde is toch ook niet heel handig lijkt mij....

[phoenix2149]

Dat wordt een flinke kluif voor FortiNet klanten om alles te resetten...

[wica]

Ik ben vooral verbaast, dat ze nog klanten hebben. Aangezien het aantal CVE's de af gelopen jaren.

[joshbergm]

Fortinet publiceert zelf zijn CVE's en deelt deze ook openbaar.
Cisco heeft er ook genoeg maar om die in te zien moet je een Cisco account hebben.

Sommige CVE's van Fortinet hadden ook impact op andere vendoren omdat zij dezelfde packages gebruiken voor bijvoorbeeld SSL-VPN.

[wica]

Een CVE is per definitie openbaar. Soms wel pas, na dat er een oplossing beschikbaar is.
Ik zeg niet dat veel CVE's hebben, slecht is is. We blijven tenslotte met software werken.

Ik heb meer problemen met de type bugs. Waardoor ik denk, dat er een proces echt niet op orde is. En ja dat denk ik ook van Cisco, die gewoon hardcoded passwords hebben.

Een CVE van afgelopen jaar. CVE-2024-4577 , hoe krijg je het in 2024 nog voor elkaar om RCE te hebben, omdat je query parameters niet goed checked.

Voor mij, is dit type bugs. Een reden om een fabrikant voor zo'n 5 jaar links te laten liggen. Net zo als ik geen Cisco project in mijn Infra wil hebben.

[closefuture]

Ik wil best mee gaan in dat Fortinet zijn ontwikkeling niet op orde heeft maar de CVE die je noemt is volgens mij niet een CVE voor een Fortinet product maar "gewoon" een PHP RCE: "affecting PHP when using Apache and PHP-CGI on Windows systems".

[BSimpson]

Omdat klanten en partners (zoals wij) waarderen hoe Fortinet omgaat met hun kwetsbaarheden. Van alle kwetsbaarheden vinden ze er zelf ~85%. Daarnaast vinden ze, melden en lossen ze het op. Daar kan menig ander bedrijf nog wat van leren.

Als je alleen nieuwsartikeltjes leest en daar je feiten op baseert dan snap je het niet helemaal. Liever een bedrijf die er zo transparant over is dan een bedrijf die claimt "nooooit" CVE's te hebben. Ga je er niet naar op zoek, ga je ze ook niet vinden

p.s. Gebruik jij ook nog steeds Windows?

[willieverhoef]

Of omdat je als partner flinke korting of kickback krijgt. Ik geb geen idee hoe het met andere is maar zie veel fortinet op plaatsen waar men denk goed beveiligd te moeten zijn. Misschien zit er wel gewoon teveel in het enne doosje, en is het iets te manageable.

[blaatenator]

hoe Fortinet omgaat met hun kwetsbaarheden

en

Liever een bedrijf die er zo transparant over is dan een bedrijf die claimt "nooooit" CVE's te hebben.

Wow, da's nogal een statement wat haaks staat op het nieuws van de afgelopen jaren over Fortinet (Volgens mij is Fortinet vooral erg snel met het wijzen naar CVE's voor producten van concurrenten).

Fortinet heeft al jaren een erg slechte reputatie mbt de code kwaliteit (zo 'berucht' dat zelfs Fortinet medewerkers op een beurs er grappen over maakten).
Er was een tijdje geleden nog het geval van een exploit uit 2002 die gefixed was maar na een recente patch opnieuw aanwezig was.

Ik ken de codebase uiteraard niet maar zou me niet verbazen dat veel software het een samenraapsel is van allerlei overgenomen producten waar niemand binnen Fortinet op dit moment nog iets van snapt of aanpassingen in durft te maken (maar waar Fortinet natuurlijk wel flink geld voor vraagt).

Mijn indruk is dat Fortinet vooral op papier makkelijk 'compliance mbt security' levert (dat dit voor meer bedrijven geldt maakt het niet minder waar).

[BSimpson]

Dat zijn behoorlijke aannames die je daar doet.. Ik hou het liever bij de feiten.

En het feit blijft dat ongeveer 85% zelf wordt gevonden, gemeld en opgelost. Dat zegt mij dat ze een groot team hebben die hier dagelijks mee bezig is om het veiliger te maken.

Als je denkt dat geen andere vendor zulke kwetsbaarheden heeft. Dan snap je het echt niet. Kijk alleen maar naar Windows met alle zero-days.

Nog een feit is dat zij meer dan 50% van alle firewalls wereldwijd leveren. Op nummer 2 komt Cisco geloof ik met 8%.
Andere feit is dat Fortinet heel veel producten heeft, dat betekent dat je niet alleen naar het totaal aantal cves moet kijken maar ook naar welk type.

Maar nogmaals, You do You. Liever een bedrijf die hier actief mee bezig is dan of niet zoeken naar kwetsbaarheden en het niet vinden of nog erger het oplossen als "bugfix" (looking at you Checkpoint, blij dat we daar vanaf zijn gestapt zeg).

[Sebazzz]

Er wordt gezegd hoge bomen vangen veel wind, maar het zou mij niets verbazen dat sommige van dit soort gigantische securitybedrijven hun zaakjes gewoon niet op orde hebben. Dat kwaliteit en ontwikkeling gedeeltelijk is gefarshored naar lage-lonen landen waar mensen 16 uur per dag op kantoor zitten ten behoefte van meer marge.

[phoenix2149]

Ben geen IT specialist, maar het veranderen van beveiligings software is geen simpele klus dus daar gaan jaren overheen vaak om die beslissing te maken en te testen etc.

Ik heb een paar klanten gezien die Forti hadden. Deze waren recent overgestapt op Microsoft Defender wat het hele ziekenhuis IT infrastructuur op zijn gat had gegooid voor bijna een week, omdat het heel slecht managebaar is blijkbaar waardoor ons systeem continu werd vertraagd door intermitterende scans en exclusies implementeren bleek zeer lastig.

Je zou maar een stroke hebben en de beveiliginssoftware zorgt voor een vertraging van 10 minuten op de uitslag. Daar gaan weer 20 miljoen hersencellen..

[Scriptkid]

dan is er tijdens uitrol toch echt een paar stappen overgeslagen.

op critike infra ga je niet als een cowboy next next finish , dan heb je een lijst van approved en tested software en configuratie en daar ga je niet van af wijken.

[phoenix2149]

Wat ik ook een beetje duidelijk probeerde te maken is eigenlijk dat zelfs zonder cowboy praktijken het vaak niet soepel verloopt en kan behoorlijke problematiek creëren voor een bedrijf.

Dus overstappen van zeg Forti naar Norton of Microsoft Defender, hoe goed ook voorbereid, kan veel problemen veroorzaken.

[nasdude]

Ik heb een paar klanten gezien die Forti hadden. Deze waren recent overgestapt op Microsoft Defender wat het hele ziekenhuis IT infrastructuur op zijn gat had gegooid voor bijna een week

Wat ik ook een beetje duidelijk probeerde te maken is eigenlijk dat zelfs zonder cowboy praktijken het vaak niet soepel verloopt en kan behoorlijke problematiek creëren voor een bedrijf.

Wat probeer je hier nu te zeggen? Waren ze nu wel of niet direct en met zijn allen overgestapt aangezien je eerder schreef dat de gehele ziekenhuis infra een week plat lag, ?

[phoenix2149]

Ze waren overgestapt, ik neem aan dat ze eerst getest hadden, en daarna waren er problemen. Het lag natuurlijk niet helemaal plat dat er geen zorg geleverd kon worden anders was het wel in de media (overigens was dit in de UK)

Of ze zijn vergeten bepaalde cruciale systemen te testen, of er is iets mis gegaan tijdens de overstap. Die details heb ik niet. Weet wel dat er veel stress was en niets werkte naar behoren. Uiteindelijk, zo werd mij verteld, bleek defender dusdanig lastig te managen zijn en dat daardoor ons systeem regelmatig enorme vertragingen liet zien die intermitterend en onverklaarbaar leken, totdat defender uitgezet werd en alles vloeiend liep (geisoleerd natuurlijk voor de test). Hoe of wat de oorzaak precies was weet ik niet.

Nadat ze uiteindelijk Defender op poten hadden liep alles (in ieder geval op ons systeem, lekker.

Heb niet gevraagd: "hebben jullie wel eerst een test gedaan" denk niet dat dit in goede aarde zou vallen.....

[OuweDorper]

Dus overstappen van zeg Forti naar Norton of Microsoft Defender, hoe goed ook voorbereid, kan veel problemen veroorzaken.

Misschien dat ik het niet helemaal begrijp hoor, maar hoe ga je van Forti naar Norton of Microsoft Defender? FortiGate is een fysieke firewall, waar kwetsbaarheden in gevonden worden. Je hebt het hier nu over software antivirus pakketen?

[Gumball3000]

Buiten de fysieke firewalls heb je ook Fortinet XDR, als client om VPN en beveilging enz te kunnen doen, los van je fysieke locatie.
Maar dat lijkt me ook niet veel te maken te hebben met deze post.
Als ik zie hoe Fortigate omgaat met updates valt het nog best mee. Anderen patchen niet of als er dan een patch is is heel het systeem niet meer bruikbaar. Fortinet lijkt op zijn minst nog updates te testen.. Wat de dag van vandaag geen zekerheid meer is.

[Luchtbakker]

Weet je hoeveel CVE's Cisco, Microsoft, Apple, en andere tig big tech's hebben op een jaar? En dat zal altijd blijven. Hoge bomen vangen veel wind en trekken altijd een bepaalde groep mensen aan.

[SmokingSig]

Iemand die de lijst heeft?

edit: https://github.com/arsolu...lob/main/affected_ips.txt

edit edit: Mirnao was me voor..

[Reactie gewijzigd door SmokingSig op 16 januari 2025 09:29]

[Mirano]

Idd,

Ik moet het e.e.a. nalopen maar zie het niet helemaal zitten door een account op BreachForums te maken

Edit zie:

Voor degene die wilt controleren of ze in de eerste publieke leak zitten:

https://github.com/arsolu...ate-belsen-leak/tree/main
In January 2025, configurations from approximately 15,000 affected devices were publicly released by the Belsen Group.
[Reactie gewijzigd door Mirano op 16 januari 2025 09:22] Bekijk wijzigingen

[Reactie gewijzigd door Mirano op 16 januari 2025 09:28]

[DigitalExorcist]

https://github.com/arsolu...lob/main/affected_ips.txt

Dat is in elk geval de lijst met affected IP-adressen. Niet de configuraties uiteraard.

[Reactie gewijzigd door DigitalExorcist op 16 januari 2025 09:34]

[ggj87]

Het gaat wel lekker met Fortinet deze ochtend

[michelr]

Dat is niet alleen van deze ochtend. De laatste jaren is het volop huilen met de pet op, en dan heb ik het nog niet eens over de wijze waarop er gecommuniceerd wordt.

[Slavy]

BleepingComputer heeft er ook wat screenshots bij staan die interessant zijn: https://www.bleepingcompu...15-000-fortigate-devices/

[Murazor4096]

"In order to solidify the name of our group in your memory" en dan vervolgens de naam van je eigen groep verkeerd spellen.

[Barreljan]

Voor diegene met veel Fortigates en een lijst van zijn addressen heeft of veel in grotere prefixes verspreid heeft, met een Q&D python3 scriptje even de 15k addressen matchen.

https://gist.github.com/b...cb2278a473d5e3553c1471ace

Het voorbeeld in de comment is RFC1918 (interne) space maar dat moet natuurlijk public zijn, daarom; voorbeeld.

[SambalBij]

Thanks
Alleen wel even die gepubliceerde IP lijst door awk trekken om de poortnummers te strippen, anders verslikt dat python scriptje zich nogal
(ValueError: 'x.x.x.x:443' does not appear to be an IPv4 or IPv6 network)

Ik weet te weinig van pyhton om dat script even te patchen

edit:
Hoewel, zo moeilijk is python nou óók weer niet:

def matching(_input_file):
_hits = []
for line in get_lines(_input_file):
if line.find(':'):
route = ip_network(line.split(":")[0])
else:
route = ip_network(line)
try:
if subnet_of(route):
_hits.append(route)
except TypeError:
# can not check ipv4 on ipv6 or vice versa
continue
return _hits

[Reactie gewijzigd door SambalBij op 16 januari 2025 15:57]

[Barreljan]

wel awk maar python is lastig, grappig kon ook met cut -d ':' -f1 of sed. maar achja. Script had ik wat uniform gemaakt, om later weer te kunnen gebruiken. Top dat je er mee uit de voeten kon ondanks m'n Q(uick)&D(irty) methode!

[SambalBij]

Python is niet echt moeilijk, maar gewoon vervelend... als ik python ook maar enigszins kan vermijden dan doe ik dat graag...
Wel eens wat mee geprobeerd, maar dat rottige inspringen met exact zoveel spaties, in plaats van gewoon normale blokken code zoals het hoort met krulhaken kan ik echt niet aan wennen... 😋
(Net als yaml... Ook zo'n stuk ellende wat is bedacht door iemand die een hekel had aan de wereld 🤣)

[Reactie gewijzigd door SambalBij op 16 januari 2025 18:04]

[_Thanatos_]

Dit is een van de redenen waarom Mullvad zo goed is. Je hebt geen login-gegevens, alleen een geheim nummer dat je zelf moet onthouden, en je hoeft nooit ergens naam/adres in te vullen. Zelfs betalen is/kan anoniem, bijv met bitcoin of cash.

Dus hackers zouden wel achter een berg IP-adressen kunnen komen, maar kunnen dat in principe vervolgens nergens aan relateren.

[oezie]

Dat is wel appels met peren vergelijken. Mullvad is een VPN-Provider gericht op consumenten zodat deze lekker "anoniem" het internet op kunnen. De gegevens die nu zijn vrijgekomen zijn afkomstig uit firewalls (lees Fortigates) van bedrijven. Die IP adressen moeten wel bekend zijn als je verbinding wil maken met het netwerk van je bedrijf.

In theorie zouden ze hun IP adres kunnen verbergen door hun verkeer te proxy'en via bijv. Cloudflare. Maargoed, als je dan toch binnenkomt in de Fortigate door een CVE dan kun je alsnog wel het originele IP achterhalen. Hoe dan ook is de uitwerking hetzelfde, er kan verbinding worden gemaakt met een IP adres en ingelogd worden op de VPN middels de verkregen inloggegevens.

[_Thanatos_]

Ik ben ook niet bezorgd over het lekken van een berg IP-adressen, maar wel als die gekoppeld zijn/worden aan personen. Zoals ik je reactie nu lees, "moet" Fortigate de IP-adressen van de clients weten om verbinding te kunnen maken, en hoewel dat klopt, zou het niet nodig hoeven zijn om daar inloggegevens aan te koppelen. Blijkbaar doen ze dat wel, net zoals alle Tunnelbears, PIA's en NordVPN's van de wereld.

Laat ik dan een vergelijk trekken met de VPN die wij naar kantoor hebben. Je logt niet in op de app, maar met OAuth, in ons geval je MS-account, zodat het (in theorie) bij de servers volstrekt onbekend is bij wie die access tokens horen. Het is alleen bekend dat ze toegang hebben, maar niet bij wie ze horen. Is dit een beter vergelijk, denk je?

[Jim80]

Terwijl de datahonger naar gevoelige persoonlijke data vanuit de EU maar blijft toenemen. Wanneer beseffen ze eens dat ze geen groter cadeau aan criminelen kunnen geven.

[Neus]

Vanmorgen lag de FortiGate firewall van de Universiteit hier in Genua plat - niemand kon nog inloggen via de VPN. Toeval ?

[satya]

Dit gaat over een lek van 2022 wat al lang gedekt is, het is een lijst met oude gegevens, of die uni doet niet aan updaten natuurlijk.

[chaozz]

Je kunt zelf controleren of jullie WAN ip voorkomt in de lijst.

[Connor]

Net even de vpn pagina en ip van universiteit van Genua opgezocht (altijd handig die online instructies) en het ip dat er achter hangt 130.251.*.* komt niet in de lijst met ip's voor.