FortiManager 제로데이 공격 (CVE-2024-47575) 조사

* 해당 블로그의 원문은 2024년 10월 24일 Google Cloud 블로그(영문)에 게재되었습니다. 

작성자: Foti Castelan, Max Thauer, JP Glab, Gabby Roncone, Tufail Ahmed, Jared Wilson

요약

현재 Mandiant에서 분석한 데이터 소스에는 공격자가 FortiManager 취약점을 악용하는 데 사용한 특정 요청이 기록되지 않았습니다. 또한, 현재 조사 단계에서는 UNC5820이 획득한 구성 데이터를 활용하여 측면 이동을 하고 환경을 추가로 손상시켰다는 증거가 없습니다. 결과적으로 게시 시점에는 공격자의 동기나 위치를 평가할 수 있는 충분한 데이터가 부족합니다. 조사를 통해 추가 정보가 확보되면 Mandiant는 블로그를 통해 후속 업데이트할 예정입니다.

FortiManager가 인터넷에 노출되었을 가능성이 있는 조직은 즉시 포렌식 조사를 수행해야 합니다.

악용 세부 정보

FMG-VMTM23017412|45.32.41.202

그림 3: /fds/data/unreg_devices.txt 정보

SerialNumber=FMG-VMTM23017412|AccountID=
0qsc137p@justdefinition.com|Company=Purity Supreme|UserID=1756868

그림 4: /fds/data/subs.dat 정보

후속 공격 활동은 부족한 것으로 보여

Mandiant는 /bin에 마운트되는 장치용 initramfs(RAM 디스크)인 rootfs.gz를 검토했습니다. 악용 활동 기간 동안 생성되거나 수정된 악성 파일은 찾지 못했습니다.

Google Cloud는 환경에서 유사한 활동을 보인 영향을 받는 고객에게 알렸습니다. 또한 Google Threat Intelligence는 이 활동에 대한 탐지를 개발하는 동안 레트로헌트를 실행했으며 영향을 받는 SecOps 고객에게 사전 릴리스 탐지 규칙 알림을 수동으로 에스컬레이션하여 Fortinet 장치의 악용 시도를 탐지하는 데 도움을 주었습니다.

위협 행위자들의 활동 타임라인

완화 전력 / 해결 방법

1. 승인된 내부 IP 주소에 대해서만 FortiManager 관리 포털에 대한 액세스를 제한합니다.

2. 허용된 FortiGate 주소만 FortiManager와 통신하도록 허용합니다.

3. 알 수 없는 FortiGate 장치가 FortiManager와 연결되는 것을 거부합니다.

7.2.5, 7.0.12, 7.4.3 이상에서 사용 가능(7.6.0에서는 기능적 해결 방법이 아님).

config system global
    set fgfm-deny-unknown enable
end

그림 7: 알 수 없는 장치를 거부하는 구성

탐지

YARA-L

If you are a Google SecOps Enterprise+ customer, rules were released to the “Mandiant Intel Emerging Threats” rule pack (within the Windows Threats group), and IOCs listed in this blog post are available for prioritization with Applied Threat Intelligence.

Google SecOps Enterprise+ 고객인 경우 "Mandiant Intel Emerging Threats" 규칙 세트(Windows Threats 그룹 내)에 규칙이 릴리스되었으며 이 블로그 게시물에 나열된 IOC는 Applied Threat Intelligence를 사용하여 우선 순위를 지정할 수 있습니다.

관련 규칙

• Suspicious FortiManager Inbound and Outbound Connection
• UNC5820 Fortinet Exploitation and File Download
• UNC5820 Fortinet Exploitation and non-HTTPS Command and Control
• UNC5820 Fortinet Exploitation and HTTPS Command and Control

기타 SIEM

Develop searches against Fortiguard logs for the following relevant IOCs. In particular, the Malicious Fortinet Device ID should provide a high fidelity alert if triggered.

다음 관련 IOC에 대한 Fortiguard 로그 검색을 개발합니다. 특히 악성 Fortinet 장치 ID가 트리거되면 신뢰할 수 있는 알럿(alert)을 제공해야 합니다.

FortiManager 로그에서 고유 작업에 대한 기준선을 설정하고 임계값을 설정합니다. 특히 이 취약점을 패치할 때까지 조직에서 실행 가능한 경고를 제공하기에 "장치 추가" 및 "장치 수정" 작업이 충분히 드물 수 있습니다. 

마찬가지로 FortiManager 로그의 변경 필드에 대한 기준선을 설정하고 임계값을 설정하고 변경 필드에 '등록되지 않음'이라는 단어가 포함된 경우 더 높은 민감도를 고려합니다. 

매일 Fortigate 장치를 열거하고 이전에 보지 못한 장치 이름이 로그에서 관찰될 때 경고합니다. 

IOC(Indicators of Compromise)

네트워크 기반 IOCs

호스트 기반 IOCs

추가 키워드