En estos últimos días, se han estado registrando una cantidad de ataques utilizando el exploit para abusar de un nuevo error de FortiOS, parcheado este mes, en ataques dirigidos a gobiernos y grandes organizaciones, que han gatillado en la corrupción del sistemas operativos, robo de archivos y ha la pérdida de información.
Fortinet lanzó actualizaciones de seguridad el 7 de marzo de 2023 para abordar esta vulnerabilidad de seguridad de alta gravedad (CVE-2022-41328) que permitía a los actores de amenazas ejecutar código o comandos no autorizados.
Incidente de Seguridad
El incidente se descubrió después de que los dispositivos de Fortinet comprometidos se apagaran con los mensajes «El sistema ingresa al modo de error debido a un error de FIPS: la autocomprobación de integridad del firmware falló» y no se pudo reiniciar.
Fortinet dice que esto sucede porque sus dispositivos habilitados para FIPS verifican la integridad de los componentes del sistema y están configurados para apagarse automáticamente y detener el arranque para bloquear una brecha en la red si se detecta un intento de compromiso.
Los firewalls de Fortigate fueron comprometidos a través de un dispositivo FortiManager en la red de la víctima, dado que todos se detuvieron simultáneamente, fueron alterados con las mismas tácticas, adicionalmente, el exploit de ‘path traversal’ de FortiGate se lanzó al mismo tiempo que los scripts ejecutados a través de FortiManager.
Fortinet lanzó actualizaciones de seguridad el 7 de marzo de 2023 para abordar esta vulnerabilidad de seguridad de alta gravedad (CVE-2022-41328) que permitía a los actores de amenazas ejecutar códigos o comandos no autorizados.
La investigación posterior mostró que los atacantes modificaron la imagen del firmware del dispositivo (/sbin/init) para lanzar un payload (/bin/fgfm) antes de que comenzara el proceso de arranque.
Este malware permite la filtración de datos, la descarga y escritura de archivos, o la apertura de shells remotas cuando se recibe un paquete ICMP que contiene la cadena «;7(Zu9YTsA7qQ#vm«.
Fortinet concluyó que los ataques estaban estratégicamente dirigidos, con algunas pruebas que mostraban que los actores de amenazas favorecían las redes gubernamentales. Los atacantes también han demostrado «capacidades avanzadas«, incluidas partes de ingeniería inversa del sistema operativo de los dispositivos FortiGate.
Indicadores de Compromiso
Red
- 47.252.20[.]90
Hashes de archivo
- Autenticación – b6e92149efaf78e9ce7552297505b9d5
- Klogd – 53a69adac914808eced2bf8155a7512d
- Soporte – 9ce2459168cf4b5af494776a70e0feda
- Smit – e3f342c212bb8a0a56f63490bf00ca0c
- Red local – 88711ebc99e1390f1ce2f42a6de0654d
- Urls.py – 64bdf7a631bc76b01b985f1d46b35ea6
- Vistas.py – 3e43511c4f7f551290292394c4e21de7
- Fgfm – e2d2884869f48f40b32fb27cc3bdefff
Más información: Analysis of FG-IR-22-369 | Fortinet Blog
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
