Fortinet FortiGate xavfsizlik devorlariga qarshi yangi va faol kiberhujum kampaniyasi aniqlandi. Hujumchilar FortiOS va FortiSwitchManager’dagi CVE-2025-25249 zaifligidan foydalanib, qurilmalarni buzib kirish, ularga maxsus ishlab chiqilgan Node.js asosidagi masofadan boshqarish trojani (RAT) — PivotC2ni o‘rnatish hamda keyinchalik ushbu qurilmalarni tashkilotlarning ichki tarmoqlariga kirish uchun tayanch nuqtaga aylantirmoqda.
Mutaxassislarning ma’lumotlariga ko‘ra, hujumchilar 30 mingdan ortiq FortiGate IP-manzillarini nishonga olgan va ulardan 178 ta qurilmaning PivotC2 bilan zararlangani tasdiqlangan.
Mazkur holat xavfsizlik devori faqat tashqi hujumlardan himoyalovchi vosita emas, balki buzib kirilgan taqdirda butun korporativ infratuzilmaga yo‘l ochib beruvchi muhim nuqtaga aylanishi mumkinligini yana bir bor ko‘rsatmoqda.
CVE-2025-25249 qanday xavf tug‘diradi?
CVE-2025-25249 — FortiOS va FortiSwitchManager tarkibidagi cw_acd xizmatida mavjud bo‘lgan heap-based buffer overflow, ya’ni xotira buferining to‘lib ketishi bilan bog‘liq zaiflikdir.
Ushbu xizmat FortiGate qurilmalarida simsiz ulanish nuqtalarini markazlashgan holda boshqarishda ishlatiladigan CAPWAP protokoli bilan bog‘liq. CAPWAP Control xizmati odatda UDP 5246-port orqali ishlaydi.
Zaiflikdan muvaffaqiyatli foydalanilgan taqdirda, masofadan turib, autentifikatsiyadan o‘tmasdan, maxsus shakllantirilgan so‘rovlar orqali qurilmada o‘zboshimchalik bilan kod yoki buyruqlarni bajarish imkoniyati yuzaga keladi. SOCRadar mazkur zaiflikning CVSSv3 ko‘rsatkichini 9.8 — Critical sifatida qayd etgan.
Fortinet ushbu muammo bo‘yicha tuzatishlarni 2026-yil yanvarida taqdim etgan bo‘lsa-da, amaldagi kampaniya hujumchilar hali ham yangilanmagan yoki internetga ochiq FortiGate qurilmalarini faol ravishda izlayotganini ko‘rsatmoqda.
Zaiflikdan foydalanish qanday amalga oshirilmoqda?
Aniqlangan hujum oddiy zararli dastur tarqatish kampaniyasidan ancha murakkab.
Hujumchilar fortirun.bin nomli maxsus ekspluatatsiya vositasidan foydalanadi. Bash va Python skriptlari esa ushbu vositaning ishlashini avtomatlashtirib, nishon IP-manzillariga qayta-qayta hujum yuboradi.
Zaiflik muvaffaqiyatli ekspluatatsiya qilingach, qurilmada reverse shell — ya’ni qurilmadan hujumchi serveri tomon tashqi aloqa o‘rnatiladi. Shundan so‘ng hujumchilar FortiGate tizimida mavjud bo‘lgan Node.js muhitidan foydalanib, keyingi bosqichdagi zararli kodni ishga tushiradi.
Dastlabki JavaScript stager masofaviy serverdan keyingi yuklamani oladi, uni Base64 formatidan dekodlaydi, XOR yordamida ochadi va vaqtinchalik fayl sifatida saqlaydi. Keyinchalik ushbu fayl alohida fon jarayoni sifatida ishga tushiriladi.
Natijada qurilmaga PivotC2 joylashtiriladi.
PivotC2 — oddiy zararli dastur emas
PivotC2 FortiGate qurilmalariga maxsus moslashtirilgan Node.js asosidagi post-exploitation RAT hisoblanadi.
Uning asosiy maqsadi shunchaki qurilmada buyruq bajarish emas, balki buzib kirilgan FortiGate’ni tashkilotning ichki tarmog‘iga kirish, ma’lumotlarni yig‘ish va boshqa tizimlarga hujum qilish uchun doimiy boshqaruv nuqtasiga aylantirishdir.
PivotC2 quyidagi imkoniyatlarga ega:
- interaktiv buyruq satrini ishga tushirish;
- fayllarni yuklash va yuklab olish;
- ichki tarmoqqa tunnellar yaratish;
- SOCKS5 va HTTP proksi orqali trafikni yo‘naltirish;
- mahalliy va masofaviy port forwarding;
- ichki tarmoqlarni skanerlash;
- FortiGate konfiguratsiya fayllarini yig‘ish;
- saqlangan ma’lumotlar va hisob ma’lumotlarini ajratib olish;
- uzoq muddatli C2 aloqasini saqlab qolish.
Zararli dastur hujumchi serveriga TLS orqali tashqariga chiquvchi aloqa o‘rnatadi. Bu esa kiruvchi ulanishlarni cheklovchi xavfsizlik siyosatlarini chetlab o‘tishga yordam beradi.
Eng katta xavf — konfiguratsiya va parollarning o‘g‘irlanishi
PivotC2’ning eng xavfli jihatlaridan biri — FortiGate qurilmasida saqlanayotgan konfiguratsiya ma’lumotlarini avtomatik ravishda yig‘a olishi.
Hujumchi qurilmadagi konfiguratsiya fayllarini qo‘lga kiritganidan so‘ng, ularda saqlangan ENC ko‘rinishidagi ma’lumotlarni ochishga urinishi mumkin.
Natijada quyidagi maxfiy ma’lumotlar xavf ostida qoladi:
- administrator hisob ma’lumotlari;
- SSL-VPN foydalanuvchi ma’lumotlari;
- IPsec VPN oldindan ulashilgan kalitlari (PSK);
- simsiz tarmoq parollari;
- LDAP autentifikatsiya ma’lumotlari;
- boshqa tarmoq konfiguratsiyasiga oid maxfiy ma’lumotlar.
Bu esa muammoni bitta FortiGate qurilmasi doirasidan chiqarib yuboradi.
Agar ushbu hisob ma’lumotlari tashkilotning boshqa tizimlarida ham ishlatilsa, hujumchi xavfsizlik devoridan keyin ichki serverlar, VPN xizmatlari, foydalanuvchi hisoblari va boshqa tarmoq resurslariga o’tishi mumkin.
“Auto-mode” hujumlarni avtomatlashtiradi
PivotC2’da mavjud bo‘lgan auto-mode funksiyasi kampaniyaning eng xavotirli jihatlaridan biridir.
Ushbu rejim yoqilganda, yangi zararlangan har bir qurilma uchun keyingi amallar hujumchining doimiy ishtirokisiz avtomatik ravishda bajarilishi mumkin.
Jarayon odatda quyidagi ketma-ketlikda amalga oshiriladi:
1. Qurilma aniqlanadi →
2. Konfiguratsiya ma’lumotlari yig‘iladi →
3. Hisob ma’lumotlari ajratib olinadi →
4. Ichki tarmoq segmentlari aniqlanadi →
5. Ichki IP-manzillar va xizmatlar skanerdan o‘tkaziladi.
Shu tariqa bitta buzilgan FortiGate nafaqat hujumchiga shu qurilma ustidan nazorat beradi, balki tashkilotning ichki tarmog‘ini xaritalash uchun ham foydalanilishi mumkin.
Bu mexanizm hujumchilar uchun minglab qurilmalarni qo‘lda boshqarish zaruratini kamaytirib, kampaniyani katta miqyosda olib borish imkonini yaratadi.
FortiGate — ichki tarmoqqa olib boruvchi “ko‘prik”ka aylanishi mumkin
SOCRadar tadqiqotchilari AQShdagi ikki tashkilotga qarshi hujumlarda FortiGate buzilganidan keyin tajovuzkorlar ichki tarmoq bo‘ylab harakatlanganini aniqlagan.
Hujumchilar:
- ichki tarmoqni o‘rgangan;
- qurilmalar va xizmatlarni aniqlagan;
- brauzerlarda saqlangan hisob ma’lumotlarini o‘g‘irlagan;
- RDP konfiguratsiyalaridan foydalangan;
- boshqa tizimlarga lateral harakatlangan;
- Microsoft Exchange pochta ma’lumotlarini yig‘gan;
- o‘g‘irlangan ma’lumotlarni hujumchilarga tegishli bulutli saqlash infratuzilmasiga chiqarib yuborgan.
Demak, dastlabki hujum nuqtasi FortiGate bo‘lsa-da, yakuniy maqsad tashkilotning boshqa muhim axborot resurslari bo‘lishi mumkin.
30 mingdan ortiq qurilma nishonga olingan
STRU tahliliga ko‘ra, hujumchilar tomonidan tuzilgan nishonlar ro‘yxatida 30 mingdan ortiq FortiGate IP-manzili mavjud bo‘lgan.
Ulardan 178 ta qurilma PivotC2 bilan zararlangani tasdiqlangan.
Geografik jihatdan eng ko‘p zararlanishlar:
- AQSh;
- Chili;
- Kolumbiya;
- Buyuk Britaniya
hududlarida qayd etilgan.
Tadqiqotchilar hujumlarni kamida 2026-yil iyulidan buyon faol deb baholamoqda va kampaniya davom etayotganini bildirgan. Shu sababli ushbu tahdidni faqat o‘tmishda sodir bo‘lgan hodisa sifatida emas, balki hozirgi va davom etayotgan xavf sifatida ko‘rish zarur.
Qaysi FortiOS versiyalari xavf ostida?
CVE-2025-25249 quyidagi FortiOS versiyalariga ta’sir qiladi:
| Mahsulot | Zaif versiyalar | Himoyalangan versiya |
|---|---|---|
| FortiOS 7.6 | 7.6.0–7.6.3 | 7.6.4 yoki yuqori |
| FortiOS 7.4 | 7.4.0–7.4.8 | 7.4.9 yoki yuqori |
| FortiOS 7.2 | 7.2.0–7.2.11 | 7.2.12 yoki yuqori |
| FortiOS 7.0 | 7.0.0–7.0.17 | 7.0.18 yoki yuqori |
| FortiOS 6.4 | Barcha versiyalar | Tuzatilgan versiyaga migratsiya |
| FortiSwitchManager 7.2 | 7.2.0–7.2.6 | 7.2.7 yoki yuqori |
| FortiSwitchManager 7.0 | 7.0.0–7.0.5 | 7.0.6 yoki yuqori |
Ushbu versiyalar SOCRadar’ning CVE-2025-25249 bo‘yicha tahlilida keltirilgan.
Fortinet o‘zining PSIRT tizimi orqali zaifliklar uchun rasmiy tuzatishlarni e’lon qiladi va xavfsizlik yangilanishlarini o‘z vaqtida o‘rnatishni tavsiya qiladi.
Tashkilotlar nima qilishi kerak?
FortiGate qurilmalaridan foydalanayotgan tashkilotlar ushbu kampaniya fonida quyidagi choralarni zudlik bilan amalga oshirishi lozim.
1. FortiOS’ni yangilash
Eng muhim chora — barcha FortiGate qurilmalarining versiyasini tekshirish va ularni yuqorida ko‘rsatilgan xavfsiz versiyalarga yangilash.
Internetga ochiq va eski FortiOS versiyasida ishlayotgan qurilmalar ayniqsa yuqori xavf ostida.
2. CAPWAP xizmatining tashqi tarmoqdagi ochiqligini tekshirish
CAPWAP Control xizmatiga tegishli tashqi ulanishlar qayta ko‘rib chiqilishi kerak.
Zarur bo‘lmagan hollarda internetdan UDP 5246–5249 portlariga keluvchi trafikni cheklash yoki bloklash maqsadga muvofiq. SOCRadar ham tashqi interfeyslardagi ushbu xizmatning ta’sir doirasini kamaytirishni tavsiya qilgan.
3. Qurilmada Node.js jarayonlarini tekshirish
PivotC2 Node.js muhitidan foydalanishi sababli xavfsizlik jamoalari FortiGate qurilmalarida odatiy bo‘lmagan Node.js jarayonlarini tekshirishi kerak.
Xususan, /tmp/.i.js
kabi shubhali fayllarning mavjudligi muhim indikatorlardan biri hisoblanadi.
4. Tashqi C2 aloqalarini aniqlash
Faol tarmoq sessiyalari va chiqish trafiklari tahlil qilinib, ma’lum zararli infratuzilma bilan aloqalar mavjud yoki mavjud emasligi tekshirilishi kerak.
Shuningdek, faqat IP-manzillar bo‘yicha emas, balki TLS sessiyalari, noodatiy tashqi ulanishlar va kutilmagan Node.js faoliyati bo‘yicha ham monitoring olib borish muhim.
5. Barcha muhim hisob ma’lumotlarini almashtirish
Agar qurilmada PivotC2 yoki boshqa komprometatsiya belgilari aniqlansa, FortiGate konfiguratsiyasida saqlangan barcha maxfiy ma’lumotlar oshkor bo‘lgan deb hisoblanishi kerak.
Bunday holatda quyidagilarni zudlik bilan almashtirish tavsiya etiladi:
- administrator parollari;
- SSL-VPN hisob ma’lumotlari;
- IPsec PSK kalitlari;
- LDAP hisob ma’lumotlari;
- Wi-Fi parollari;
- FortiGate konfiguratsiyasida saqlangan boshqa maxfiy kalit va parollar.
6. Ichki tarmoqni ham tekshirish
FortiGate buzilgan bo‘lsa, faqat xavfsizlik devorining o‘zini tekshirish yetarli emas.
Hujumchi undan ichki tarmoqqa kirish nuqtasi sifatida foydalangan bo‘lishi mumkin. Shu sababli serverlar, RDP ulanishlari, foydalanuvchi hisoblari, brauzer credential’lari, VPN sessiyalari va ma’lumotlarning tashqariga chiqarilishi bilan bog‘liq hodisalar ham tahlil qilinishi lozim.
Hujumchilar kim?
SOCRadar tahlilida kampaniya ortida rus tilida so‘zlashuvchi, moliyaviy manfaatdor kiberjinoyatchilar turgani yuqori ishonch bilan baholangan.
Bunga zararli koddagi rus tilidagi izohlar, hujumchilarning ma’lumotlarni o‘g‘irlashga qaratilgan faoliyati hamda boshqa tizimlarga kirib borish usullari asos sifatida keltirilgan. Tadqiqotchilar ushbu guruh boshqa mahsulotlardagi ma’lum zaifliklardan, jumladan FortiManager, PeopleSoft Enterprise PeopleTools va ArubaOS’dagi zaifliklardan ham foydalanayotganini qayd etgan.
Biroq bunday atributsiya doimo ehtiyotkorlik bilan talqin qilinishi kerak: texnik indikatorlar hujumchilar til muhiti yoki faoliyat uslubiga ishora qilishi mumkin, ammo jinoyatchilarning aniq shaxsini mustaqil ravishda tasdiqlamaydi.
AI yordamida yaratilgan zararli dasturmi?
PivotC2 kodidagi batafsil izohlar, foydalanish bo‘yicha ko‘rsatmalar va kod tuzilishi tadqiqotchilarga uning ishlab chiqilishida sun’iy intellekt asosidagi dasturlash vositalaridan foydalanilgan bo‘lishi mumkin, degan xulosaga kelish imkonini bergan.
Aniqlangan PivotC2’ning 0.2.3-versiyasi ushbu vosita hali faol ishlab chiqilayotganini ko‘rsatadi. Demak, hujumchilar keyingi versiyalarda yangi imkoniyatlarni qo‘shishi yoki mavjud aniqlash mexanizmlarini chetlab o‘tishga urinishi ehtimoldan xoli emas.
Bu holat kiberxavfsizlikdagi muhim tendensiyani ham ko‘rsatadi: generativ AI dasturiy ta’minot ishlab chiqishni tezlashtirgani kabi, undan tajovuzkorlar zararli vositalarni yaratish va takomillashtirishda ham foydalanishi mumkin.
CVE-2025-25249 atrofidagi faol ekspluatatsiya FortiGate kabi perimetr xavfsizlik qurilmalarining kiberjinoyatchilar uchun qanchalik jozibador nishon ekanini yana bir bor ko‘rsatmoqda.
Bu kampaniyaning xavfi faqat FortiGate qurilmasining buzilishida emas. Hujumchilar xavfsizlik devorini egallab, undan ichki tarmoqni xaritalash, VPN va administrator hisob ma’lumotlarini qo‘lga kiritish, boshqa tizimlarga lateral harakatlanish hamda maxfiy ma’lumotlarni o‘g‘irlash uchun foydalanishi mumkin.
Ayniqsa, PivotC2’ning FortiGate konfiguratsiyalarini yig‘ish, saqlangan credential’larni ajratib olish va ichki tarmoqlarni avtomatik skanerlash imkoniyatlari ushbu kampaniyani oddiy “malware infection” holatidan ancha xavfliroq qiladi.
Shu sababli Fortinet mahsulotlaridan foydalanayotgan tashkilotlar uchun asosiy vazifa — zaif versiyalarni aniqlash, FortiOS’ni zudlik bilan yangilash, internetga ochiq CAPWAP xizmatlarini cheklash, shubhali Node.js jarayonlari va fayllarini tekshirish hamda komprometatsiya aniqlangan taqdirda barcha saqlangan maxfiy ma’lumotlarni almashtirishdan iborat.
Unutilmasligi kerak: xavfsizlik devori buzilganidan keyin hujumchi devor tashqarisida qolib ketmaydi — aksincha, u aynan shu qurilmadan tashkilotning ichki tarmog‘iga kirish uchun “kalit” sifatida foydalanishi mumkin.