针对Fortinet防火墙的勒索软件攻击报告揭示了可能的防御措施
内容提要
研究人员发现Mora_001勒索软件团伙利用Fortinet防火墙的两个漏洞进行攻击。尽管存在零日漏洞，基本的网络安全措施仍能发现并缓解这些攻击。教训包括禁用外部管理访问和监控管理员账户变化。Fortinet已发布补丁，未及时更新的组织面临风险。
关键要点
-
Mora_001勒索软件团伙利用Fortinet防火墙的两个身份验证绕过漏洞进行攻击。
-
尽管存在零日漏洞，基本的网络安全措施仍能发现并缓解这些攻击。
-
教训1：禁用防火墙的外部管理访问，以减少被攻击的风险。
-
教训2：监控所有管理员账户的变化，注意拼写错误的账户名称。
-
教训3：创建与合法账户名称相似的本地VPN用户账户以保持持久访问。
-
Fortinet已发布补丁，未及时更新的组织面临风险。
-
CVE-2024-55591和CVE-2025-24472允许未经身份验证的攻击者获得super_admin权限。
-
攻击者在多个受害者网络中创建相同的用户名，显示出一致的攻击模式。
-
Forescout观察到三种类型的攻击，包括使用PoC和直接利用WebSocket漏洞。
-
CISO应注意深度防御的重要性，以降低被攻击的风险。
延伸解读
防御措施的重要性
尽管Mora_001勒索软件团伙利用了Fortinet防火墙的零日漏洞，但基本的网络安全措施仍能有效发现和缓解攻击。这表明，企业在面对新型威胁时，基础的安全防护仍然不可或缺，尤其是在及时更新和监控方面。
监控管理员账户的必要性
报告中提到，攻击者通过创建拼写错误的管理员账户来进行攻击，这强调了对管理员账户变化的监控至关重要。企业应定期审查和验证所有管理账户，以防止潜在的安全隐患。
及时更新补丁的风险
Fortinet已发布针对漏洞的补丁，但未及时更新的组织面临较高风险。企业应建立有效的补丁管理流程，确保所有设备及时更新，以降低被攻击的可能性。
延伸问答
Mora_001勒索软件团伙是如何利用Fortinet防火墙的漏洞进行攻击的？
Mora_001勒索软件团伙利用Fortinet防火墙的两个身份验证绕过漏洞（CVE-2024-55591和CVE-2025-24472）进行攻击，允许未经身份验证的攻击者获得super_admin权限。
有哪些基本的网络安全措施可以防止此类攻击？
基本的网络安全措施包括禁用防火墙的外部管理访问、监控管理员账户的变化，以及创建与合法账户名称相似的本地VPN用户账户。
Fortinet对这些漏洞采取了什么补救措施？
Fortinet已发布补丁以修复这些漏洞，组织应及时更新以避免风险。
攻击者在多个受害者网络中表现出什么样的攻击模式？
攻击者在多个受害者网络中创建相同的用户名，并使用重叠的IP地址进行初始访问和命令控制操作。
CISO在防御这些攻击时应注意什么？
CISO应注意深度防御的重要性，以降低被攻击的风险，并监控所有管理员账户的变化。
未及时更新Fortinet防火墙的组织面临什么风险？
未及时更新的组织面临被攻击的风险，攻击者可能利用已知漏洞进行入侵。
