Fallas críticas de Fortinet ahora explotadas en los ataques de ransomware Qilin

 

La operación de ransomware Qilin se ha unido recientemente a los ataques que explotan dos vulnerabilidades de Fortinet que permiten eludir la autenticación en dispositivos vulnerables y ejecutar código malicioso de forma remota.

Qilin (también rastreado como Phantom Mantis) surgió en agosto de 2022 como una operación de ransomware como servicio (RaaS) bajo el nombre de "Agenda" y desde entonces se ha atribuido la responsabilidad de más de 310 víctimas en su sitio de fugas de la web oscura.

Su lista de víctimas también incluye organizaciones de alto perfil, como el gigante automotriz Yangfeng, el gigante editorial Lee Enterprises, la australiana Court Services Victoria y el proveedor de servicios de patología Synnovis. El incidente de Synnovis afectó a varios de los principales hospitales del NHS en Londres, que les obligó a cancelar cientos de citas y operaciones.leer más

La empresa de inteligencia de amenazas PRODAFT, que detectó estos nuevos ataques de ransomware Qilin parcialmente automatizados dirigidos a varias fallas de Fortinet, también reveló que los actores de amenazas se están enfocando actualmente en organizaciones de países de habla hispana, pero esperan que la campaña se expanda a todo el mundo.

"Phantom Mantis lanzó recientemente una campaña de intrusión coordinada dirigida a múltiples organizaciones entre mayo y junio de 2025. Evaluamos con una confianza moderada que el acceso inicial se está logrando explotando varias vulnerabilidades de FortiGate, incluidas CVE-2024-21762, CVE-2024-55591 y otras", dice PRODAFT en una alerta flash privada compartida con BleepingComputer.

"Nuestras observaciones indican un interés particular en los países de habla hispana, como se refleja en los datos presentados en la tabla a continuación. Sin embargo, a pesar de este enfoque regional, evaluamos que el grupo continúa seleccionando sus objetivos de manera oportunista, en lugar de seguir un patrón estricto de orientación geográfica o sectorial".

 

Una de las fallas abusadas en esta campaña, rastreada como CVE-2024-55591, también fue explotada como día cero por otros grupos de amenazas para violar los firewalls de FortiGate ya en noviembre de 2024. El operador de ransomware Mora_001 también lo ha utilizado para desplegar la cepa de ransomware SuperBlack vinculada a la infame banda de ciberdelincuencia LockBit por los investigadores de Forescout.

La segunda vulnerabilidad de Fortinet explotada en estos ataques de ransomware Qilin (CVE-2024-21762) fue parcheada en febrero, y CISA la agregó a su catálogo de fallas de seguridad explotadas activamente y ordenó a las agencias federales que aseguraran sus dispositivos FortiOS y FortiProxy antes del 16 de febrero.

Casi un mes después, la Fundación Shadowserver anunció que había descubierto que casi 150.000 dispositivos seguían siendo vulnerables a los ataques CVE-2024-21762.

Las vulnerabilidades de seguridad de Fortinet a menudo se explotan (con frecuencia como días cero) en campañas de ciberespionaje y para violar redes corporativas en ataques de ransomware.

Por ejemplo, en febrero, Fortinet reveló que el grupo de hackers chino Volt Typhoon utilizó dos fallos de FortiOS SSL VPN (CVE-2022-42475 y CVE-2023-27997) para desplegar el malware troyano de acceso remoto personalizado (RAT) Coathanger, que se había utilizado anteriormente para abrir una puerta trasera a una red militar del Ministerio de Defensa holandés.

Fuente: BC