FortiGate sous le feu des critiques : comment les attaquants militarisent les appliances réseau pour détourner des comptes de service

Dans le monde de la sécurité en entreprise, le pare-feu de nouvelle génération (NGFW) est souvent perçu comme la sentinelle ultime — un rempart numérique conçu pour tenir les intrus à distance. Cependant, une série de campagnes sophistiquées est en train de renverser cette logique. Des découvertes récentes de chercheurs en cybersécurité chez SentinelOne révèlent que des acteurs malveillants utilisent de plus en plus les appliances FortiGate non pas comme des barrières, mais comme des points d'entrée pour infiltrer des réseaux à haute valeur.

En exploitant des vulnérabilités récemment divulguées ou en tirant parti d'identifiants administratifs faibles, les attaquants accèdent à ces appareils pour extraire des fichiers de configuration sensibles. Ces fichiers sont bien plus que de simples plans techniques ; ils contiennent souvent les clés du royaume, notamment des identifiants de comptes de service et des informations détaillées sur la topologie du réseau. Cette tendance a placé des secteurs tels que la santé, le gouvernement et les fournisseurs de services gérés (MSP) dans la ligne de mire d'un assaut numérique coordonné.

La passerelle comme cible

L'ironie de cette campagne réside dans la nature même de l'appliance FortiGate. Parce que ces appareils se situent à la périphérie du réseau, ils nécessitent des autorisations importantes pour fonctionner correctement. Pour gérer l'authentification des utilisateurs et fournir un accès sécurisé, ils sont fréquemment intégrés à l'infrastructure centrale comme Active Directory (AD) et le protocole LDAP (Lightweight Directory Access Protocol).

Selon les chercheurs Alex Delamotte, Stephen Bromfield, Mary Braden Murphy et Amey Patne, cette intégration profonde est précisément ce qui en fait des cibles si attrayantes. Lorsqu'un attaquant compromet un appareil FortiGate, il ne contrôle pas seulement un pare-feu ; il gagne potentiellement un point d'appui dans tout le système de gestion des identités de l'organisation. Si le pare-feu dispose d'un compte de service avec des privilèges élevés pour « lire » l'arborescence AD, l'attaquant dispose désormais de ces mêmes privilèges.

Extraction du plan numérique

L'objectif principal de ces attaques récentes est l'extraction du fichier de configuration de l'appareil. Dans de nombreuses configurations anciennes ou mal sécurisées, ces fichiers contiennent des identifiants hachés, voire faiblement chiffrés, pour les comptes de service. Une fois qu'un attaquant possède le fichier de configuration, il peut travailler hors ligne pour casser ces mots de passe sans crainte de déclencher les systèmes de détection d'intrusion basés sur le réseau.

Au-delà des identifiants, les fichiers de configuration révèlent la « carte » du réseau interne. Ils détaillent les structures VLAN, les zones de confiance et les configurations VPN. Pour un acteur malveillant, cela équivaut à posséder le plan de la chambre forte d'une banque et le calendrier des patrouilles des gardes avant même d'avoir mis le pied dans le bâtiment.

Pourquoi le secteur de la santé et les MSP sont menacés

Le ciblage des secteurs de la santé et du gouvernement est une manœuvre calculée. Ces organisations manipulent souvent des données hautement sensibles et opèrent sous des exigences de disponibilité strictes, ce qui les rend vulnérables à l'extorsion. Cependant, l'accent mis sur les fournisseurs de services gérés (MSP) représente une menace stratégique plus large.

Les MSP utilisent souvent des appareils FortiGate pour gérer les réseaux de dizaines, voire de centaines de clients différents. En compromettant l'appliance d'un seul MSP, un attaquant peut potentiellement obtenir un accès « en aval » à tous les clients gérés par ce fournisseur. Ce vecteur d'attaque « un-vers-plusieurs » permet aux cybercriminels de passer à l'échelle supérieure avec une efficacité terrifiante.

L'anatomie de l'exploitation

Bien que les vulnérabilités spécifiques utilisées puissent varier, la méthodologie reste constante. Les attaquants suivent généralement un processus en trois étapes :

1. Accès initial : Exploitation de vulnérabilités non corrigées (telles que celles trouvées dans les composants SSL VPN) ou utilisation d'attaques par force brute contre des mots de passe administratifs faibles.
2. Exfiltration de données : Une fois à l'intérieur de l'interface de gestion, l'attaquant exporte la configuration du système. Cela se fait souvent à l'aide d'outils administratifs intégrés pour éviter de donner l'alerte.
3. Collecte d'identifiants : L'attaquant analyse la configuration pour y trouver les détails des comptes de service. Ces comptes sont ensuite utilisés pour se déplacer latéralement du pare-feu vers l'environnement des serveurs internes.

Considérez cela comme un système de passe-partout. Le pare-feu est la porte d'entrée, mais le compte de service qu'il détient est la clé maîtresse qui ouvre toutes les autres portes du bâtiment. Une fois que l'attaquant possède la clé, la porte d'entrée n'a plus d'importance.

Défense pratique : renforcer votre périmètre

Pour contrer cette menace, les organisations doivent abandonner la mentalité du « configurer et oublier » concernant les appliances réseau. Les équipes de sécurité doivent prioriser les actions suivantes pour protéger leurs environnements FortiGate :

Vers une architecture Zero-Trust

Cette campagne rappelle brutalement qu'aucun appareil ne peut bénéficier d'une confiance implicite, même s'il est conçu pour la sécurité. La transition vers une architecture Zero-Trust (ZTA) est la solution à long terme la plus efficace. Dans un modèle Zero-Trust, le réseau interne n'est pas considéré comme une « zone sûre » simplement parce qu'un utilisateur a franchi le pare-feu.

En mettant en œuvre la micro-segmentation et une vérification continue de l'identité, les organisations peuvent s'assurer que même si un compte de service est compromis via une exploitation de pare-feu, la capacité de l'attaquant à se déplacer latéralement est sévèrement restreinte. L'objectif est de rendre chaque étape franchie par un attaquant aussi difficile et visible que possible.

Conclusion

L'exploitation des appareils FortiGate est une évolution sophistiquée du paysage des menaces. Elle va au-delà de la simple interruption de service pour se concentrer sur le vol discret et méthodique des actifs d'identité. Pour les professionnels de l'informatique et les responsables de la sécurité, le message est clair : les appareils qui protègent votre réseau sont désormais les cibles principales. La vigilance, l'application rapide des correctifs et une approche rigoureuse de la gestion des identifiants ne sont plus facultatives — elles sont la base de la survie dans un environnement de menaces moderne.

Sources

• SentinelOne Threat Intelligence Research
• Fortinet Security Advisories and Best Practices
• Cybersecurity & Infrastructure Security Agency (CISA) Alerts on Edge Device Exploitation
• National Institute of Standards and Technology (NIST) Guidelines on Network Gateway Security