Um grupo de hackers recém-formado, conhecido como "Belsen Group", vazou gratuitamente na dark web arquivos contendo configurações, endereços IP e credenciais VPN de mais de 15.000 dispositivos FortiGate. O vazamento expôs uma quantidade significativa de informações técnicas sensíveis, aumentando os riscos para outras redes vulneráveis.

O grupo anunciou suas atividades por meio de redes sociais e fóruns de crimes cibernéticos, promovendo sua operação inicial com a criação de um site na rede Tor. Neste site, eles disponibilizaram os dados roubados para outros cibercriminosos, declarando:

"Como um início positivo para nós e para solidificar o nome do nosso grupo, temos o orgulho de anunciar nossa primeira operação oficial: a publicação de dados sensíveis de mais de 15.000 alvos em todo o mundo, tanto no setor governamental quanto no privado."

O vazamento inclui um arquivo de 1,6 GB organizado por países. Dentro de cada pasta, há subpastas correspondentes aos endereços IP dos dispositivos FortiGate, contendo arquivos de configuração e credenciais VPN, muitas vezes com senhas em texto puro.

Exploração de vulnerabilidade zero-day

Segundo o especialista em cibersegurança Kevin Beaumont, os dados vazados estão relacionados à exploração da vulnerabilidade zero-day CVE-2022-40684, descoberta em 2022.

Beaumont, que analisou um dos dispositivos afetados, explicou que a vulnerabilidade permitiu aos invasores baixar arquivos de configuração e criar contas com privilégios administrativos. Os artefatos no dispositivo analisado confirmaram que a exploração ocorreu via CVE-2022-40684.

Ele destacou que os dados foram coletados em outubro de 2022, mas o vazamento só ocorreu agora, mais de dois anos depois.

Firmware vulnerável

De acordo com a análise do site alemão Heise, todos os dispositivos comprometidos rodavam FortiOS em versões vulneráveis (7.0.0-7.0.6 ou 7.2.0-7.2.2). Embora a versão 7.2.2 já tivesse corrigido a falha, sua presença no vazamento levanta dúvidas sobre o método de exploração.

Riscos persistentes

Apesar de os dados terem sido coletados em 2022, Beaumont alerta que muitas informações sensíveis, como regras de firewall e credenciais, ainda podem estar válidas. Ele recomenda que administradores atualizem as configurações imediatamente para evitar possíveis invasões.

Para ajudar na mitigação, Beaumont planeja divulgar os endereços IP afetados, permitindo que administradores verifiquem se seus dispositivos estão comprometidos.

Reforço de segurança

A Fortinet já havia emitido alertas em 2022 sobre essa vulnerabilidade, mas o caso ressalta a importância de manter dispositivos atualizados e revisar regularmente suas configurações de segurança. O impacto do vazamento evidencia como vulnerabilidades antigas podem continuar gerando riscos significativos.