yami0x777/belsen_group-et-exploitation-de-la-cve-2022-40684CVE-2022-40684を介して侵害された15,000以上のFortinetデバイスのダークウェブリークを分析し、IOC、影響を受けるバージョン、調査を再現するPythonスクリプトを提供します。
2025年1月29日、サイバー犯罪フォーラムBelsen_Groupのユーザーが、設定ファイルやVPNパスワードを含む15,000台のFortinet機器を侵害したと主張するメッセージを投稿しました。現在、ダークウェブで1,000の独占的なターゲットを販売しています。
しかし、ファイルの分析によると、Belsen_Groupがこの侵害の原因ではなく、HTTP/HTTPSを介した認証なしの管理者アクセスを可能にする重大な脆弱性CVE-2022-40684の悪用による以前の漏洩を単に再利用したことが示されています。
========== 要約 ==========
サブディレクトリの総数: 15 474
'config.conf'ファイルの総数: 15 474
'vpn-passwords.txt'ファイルの総数: 9 088
IPアドレスの総数: 15 474
ユニークIPアドレスの総数: 15 469
抽出されたメールアドレスの総数: 43360 ユニークなメールアドレスの総数: 25601
========== 影響を受けたバージョン ==========
バージョン7.0.0: 1 376台の機器が影響
バージョン7.0.1: 1 882台の機器が影響
バージョン7.0.2: 1 252台の機器が影響
バージョン7.0.3: 1 181台の機器が影響
バージョン7.0.4: 320台の機器が影響
バージョン7.0.5: 2 395台の機器が影響
バージョン7.0.6: 2 245台の機器が影響
バージョン7.2.0: 2 593台の機器が影響
バージョン7.2.1: 2 209台の機器が影響
バージョン7.2.2: 1台の機器が影響
不明なバージョン: 21台の機器が影響 (破損または欠落したファイル)
FortiOS 7.0.0 → 7.0.6
FortiOS 7.2.0 → 7.2.1
Fortinetは2022年11月に修正プログラムを公開しました（FortiOS 7.0.7および7.2.2）。つまり、これらの漏洩はその日付より前に行われた侵害によるものです。
分析により、CVE-2022-40684の大規模な悪用を確認する2つの主要な侵入マーカーが明らかになりました:
FortinetによってCVE-2022-40684の悪用の兆候として確認された指標。
隠された管理コマンドを介してFortiGateシステムへの認証なしのアクセスを許可。
永続的なアクセスを維持するために使用される偽の管理者アカウント（"super_admin"）の追加。
このアカウントは設定ファイルに表示されます:
このアカウントはCVE-2022-40684に関連するエクスプロイトで大量に使用されました。
このスクリプトは何をするのか？
なぜこのスクリプトはBelsen_Groupがハッキングの原因ではないことを証明するのか？
これは、Belsen_Groupが既存の漏洩を回収して再利用したに過ぎないことを意味します。
したがって、このグループは最初の侵害とは一切関係なく、既に侵害されたアクセスをリサイクルして転売しているに過ぎません。
また、侵害されたIPをリスト化した表もあり、以下を示しています:
インフラを保護しましょう！直ちに監査を実施し、必要な修正を適用してください。
