FortiGate SSL VPN nel mirino: come agiscono gli hacker dopo l'accesso

Le appliance di sicurezza perimetrale sono da anni tra i bersagli più ricercati dagli attori malevoli, proprio perché occupano una posizione centrale nelle reti aziendali.

I dispositivi FortiGate di Fortinet rientrano in questa categoria: integrano firewall, ispezione del traffico e accesso remoto tramite SSL VPN, esponendo servizi critici direttamente alla rete.

Una campagna recente ha riportato l’attenzione su questo scenario, con un toolkit denominato Nightmare Eclipse utilizzato per consolidare l’accesso dopo la compromissione iniziale.

Cosa fa Nightmare Eclipse e come opera nella rete

Nightmare Eclipse non è un exploit autonomo, ma un insieme di strumenti progettati per agire dopo che l’accesso al dispositivo è già stato ottenuto, tipicamente tramite credenziali compromesse o vulnerabilità note non corrette.

Una volta dentro, il toolkit consente di eseguire comandi sul FortiGate e di interagire con il sistema operativo sottostante, ampliando rapidamente il controllo sull’infrastruttura. Le funzionalità documentate includono l’estrazione delle configurazioni di rete, la manipolazione delle policy di accesso e il recupero di credenziali archiviate sul dispositivo, tra cui riferimenti a server LDAP, account amministrativi e chiavi di autenticazione.

Questi dati vengono poi riutilizzati per muoversi lateralmente verso altri sistemi interni, trasformando il firewall da strumento di difesa a testa di ponte per l’intera rete. La persistenza viene garantita attraverso la creazione di utenti nascosti, la modifica delle regole di accesso e, in alcuni casi, la disattivazione o alterazione dei log per ridurre la visibilità sull’attività malevola.

Il controllo del dispositivo offre inoltre un vantaggio operativo rilevante: la visibilità su tutto il traffico di rete, con la possibilità di intercettare comunicazioni e aprire canali dedicati per il comando e controllo.

Perché i FortiGate sono un obiettivo ad alto valore

Il posizionamento centrale di questi dispositivi nella rete li rende ideali per operazioni di spionaggio, esfiltrazione e non solo.

La loro diffusione capillare in ambito enterprise amplifica ulteriormente il rischio: sistemi non aggiornati o privi di autenticazione multifattore rappresentano un punto debole evidente e documentato.

Un fattore critico è la gestione delle patch. Molte campagne che coinvolgono FortiGate sfruttano vulnerabilità per cui esistono già aggiornamenti disponibili, ma che non sono stati applicati in tempo. A questo si aggiunge la difficoltà di rilevamento: tecniche di tipo living off the land, che utilizzano strumenti legittimi già presenti sul dispositivo, rendono più difficile distinguere l’attività malevola da quella ordinaria.

Come ridurre i rischi

La difesa richiede un approccio su più livelli. Aggiornare costantemente il firmware FortiOS è la misura più diretta per ridurre l’esposizione a vulnerabilità note. Abilitare l’autenticazione multifattore limita l’efficacia delle credenziali compromesse, che restano il vettore di accesso iniziale più comune.

Sul piano operativo contano il monitoraggio dei log, l’analisi comportamentale e la verifica periodica delle configurazioni. In ambienti critici, l’adozione di modelli zero trust aiuta a contenere le conseguenze di un accesso iniziale, limitando i privilegi disponibili anche a chi riesce a entrare.

L’emergere di minacce come Nightmare Eclipse, BlueHammer o RedSun, confermano che un singolo punto di ingresso non presidiato può tradursi in un accesso completo all’infrastruttura aziendale.