Blog ·
Pare-feu exposés sur Internet : une vaste campagne de piratage vise les PME mal protégées
Plus de 70 000 identifiants volés via des pare-feu Fortinet et Palo Alto mal mis à jour ou protégés par des mots de passe faibles : voici comment vérifier si votre entreprise est exposée.
Le pare-feu est souvent perçu comme le gardien de l'entreprise : un boîtier discret, installé une fois pour toutes, qui protège le réseau sans qu'on y pense. C'est précisément cette tranquillité que des pirates exploitent en ce moment. Dans un rapport publié le 21 octobre, la société de cybersécurité Group-IB, associée au laboratoire NyxLab, décrit une vaste opération menée par un acteur surnommé « k0t », qui s'attaque aux pare-feu et passerelles VPN accessibles depuis Internet, en particulier les modèles FortiGate et FortiWeb de Fortinet et les accès GlobalProtect de Palo Alto Networks.
Le bilan est lourd : plus de 70 000 identifiants et données de connexion ont été dérobés, dans de nombreux secteurs et plusieurs régions du monde.
Comment les pirates s'y prennent
La méthode n'a rien de spectaculaire, et c'est bien ce qui la rend dangereuse. Les attaquants commencent par repérer, grâce à des moteurs de recherche spécialisés, les équipements dont la page de connexion est visible sur Internet. Ils tentent ensuite deux approches. La première consiste à essayer en masse des combinaisons d'identifiants et de mots de passe courants, jusqu'à trouver la bonne. La seconde exploite des failles déjà connues et corrigées par les fabricants, mais que de nombreux appareils n'ont jamais reçues faute de mise à jour.
Une fois à l'intérieur, les pirates téléchargent le fichier de configuration du pare-feu. Selon Group-IB, ce fichier contient souvent les mots de passe des comptes administrateurs et des comptes de l'annuaire de l'entreprise, protégés par une clé de chiffrement par défaut que les attaquants savent déchiffrer. Ils installent ensuite des outils de prise en main à distance tout à fait légitimes, ce qui les rend difficiles à repérer, avant de revendre ces accès à des groupes spécialisés dans le rançongiciel. D'après l'unité de recherche Unit 42 de Palo Alto Networks, des gangs comme Qilin ou Inc utilisent d'ailleurs ce type de porte d'entrée depuis plusieurs mois.
Ce que vous pouvez vérifier dès maintenant
Ces équipements ne concernent pas que les grands groupes : beaucoup de PME de la région utilisent un FortiGate ou un boîtier équivalent pour relier leurs bureaux ou permettre le télétravail. Si c'est votre cas, commencez par une question simple : quand le logiciel de votre pare-feu a-t-il été mis à jour pour la dernière fois ? Si personne ne le sait, c'est le signal qu'il faut agir.
Vérifiez ensuite que la page d'administration du pare-feu n'est pas accessible depuis Internet, mais uniquement depuis le réseau interne. Remplacez les mots de passe administrateur et VPN par des phrases longues et uniques, et activez la double authentification pour toutes les connexions à distance. Enfin, si votre appareil a pu être exposé, ne vous contentez pas de le mettre à jour : un pirate déjà installé peut conserver son accès. Il faut alors contrôler l'absence de comptes inconnus, changer tous les identifiants enregistrés dans l'équipement et examiner les journaux de connexion.
Pour les particuliers, la leçon vaut aussi pour la box ou le routeur domestique : un mot de passe d'origine jamais modifié et un micrologiciel oublié sont exactement ce que recherchent ces robots d'attaque.
Vous ne savez pas si votre pare-feu est à jour, ou s'il est visible depuis Internet ? Passez nous voir dans nos magasins de Bastogne et de Wiltz, ou appelez-nous : nous pouvons faire le point sur votre équipement, appliquer les correctifs et vérifier qu'aucun accès suspect n'a été ouvert. Mieux vaut une petite vérification aujourd'hui qu'un réseau paralysé demain.