Falha crítica em firewalls FortiGate é explorada ativamente para roubo de credenciais
Uma vulnerabilidade crítica no FortiOS, sistema operacional utilizado em firewalls e dispositivos de rede da Fortinet, está sendo explorada em ataques reais contra empresas de diferentes países. Identificada como CVE-2025-25249, a falha permite que invasores não autenticados executem códigos e comandos arbitrários diretamente no equipamento.
Os alertas foram divulgados pela empresa de inteligência em cibersegurança SOCRadar e também pela agência norte-americana CISA. A Fortinet disponibilizou correções de segurança para o problema em 13 de janeiro, mas organizações que ainda não atualizaram seus dispositivos permanecem expostas.
Como ocorre a exploração da CVE-2025-25249
O problema está relacionado ao processamento de requisições especialmente manipuladas. Ao enviar uma solicitação criada para explorar a vulnerabilidade, o criminoso pode obter acesso ao sistema operacional do dispositivo sem precisar apresentar credenciais válidas.
Na prática, isso transforma o firewall em um ponto de entrada para a rede corporativa. Como esses equipamentos normalmente ficam conectados diretamente à internet e controlam o tráfego entre diferentes ambientes, uma invasão bem-sucedida pode oferecer ao atacante uma posição estratégica dentro da infraestrutura.
A falha afeta versões do FortiOS presentes em diferentes produtos da fabricante, incluindo a família FortiGate e soluções voltadas para VPN. O risco é especialmente elevado em equipamentos que possuem interfaces administrativas expostas à internet ou que não receberam os patches mais recentes.
PivotC2 amplia o impacto dos ataques
Após explorar o firewall, os invasores instalam o PivotC2, uma ferramenta de pós-exploração desenvolvida para atuar em dispositivos FortiGate. O programa permite coletar informações sensíveis armazenadas no equipamento e estabelecer condições para novos ataques.
Entre os dados que podem ser capturados estão:
– chaves pré-compartilhadas utilizadas em VPNs;
– credenciais de usuários de VPN SSL;
– chaves de redes Wi-Fi;
– credenciais de associação ao LDAP;
– contas e senhas de administradores.
O roubo desses elementos pode causar consequências mais graves do que a simples invasão do firewall. Com credenciais legítimas, os criminosos conseguem acessar servidores, estações de trabalho, serviços em nuvem e sistemas internos sem necessariamente disparar alertas baseados em atividades maliciosas.
Movimento lateral dentro da rede
As informações extraídas do FortiGate podem ser utilizadas para avançar por outros segmentos da organização. Esse processo, conhecido como movimento lateral, permite que o invasor deixe o dispositivo inicialmente comprometido e alcance ativos mais valiosos.
Em duas organizações norte-americanas não identificadas, os pesquisadores relataram que a rede localizada atrás do firewall também foi comprometida. Isso demonstra que a exploração pode evoluir rapidamente para um incidente amplo, envolvendo sistemas de autenticação, servidores de arquivos, aplicações corporativas e ambientes de backup.
A utilização de credenciais válidas também dificulta a investigação. Em vez de executar apenas ferramentas desconhecidas, o atacante pode operar com contas legítimas, reproduzindo comportamentos semelhantes aos de funcionários ou administradores autorizados.
Ataques registrados em vários países
A SOCRadar identificou ocorrências nos Estados Unidos, no Chile, na Colômbia e no Reino Unido. Segundo a empresa, a exploração ativa ocorre pelo menos desde julho deste ano.
A campanha é atribuída preliminarmente a um grupo criminoso de língua russa com motivação financeira. A atuação pode envolver espionagem de credenciais, extorsão, venda de acesso inicial ou preparação de ataques de ransomware.
A atribuição, contudo, deve ser tratada com cautela. Diferentes grupos podem utilizar a mesma ferramenta, reutilizar infraestrutura ou copiar técnicas já observadas em campanhas anteriores. Por isso, a prioridade das empresas deve ser a contenção do risco, e não apenas a identificação do responsável.
O que as empresas devem fazer imediatamente
A primeira medida é verificar a versão do FortiOS instalada em todos os dispositivos FortiGate e aplicar as atualizações liberadas pela Fortinet. A correção deve ser realizada mesmo quando não houver sinais aparentes de invasão, pois a exploração pode ter ocorrido sem deixar evidências óbvias.
Também é recomendável restringir o acesso às interfaces administrativas. Sempre que possível, o gerenciamento deve ficar limitado a redes internas, VPNs corporativas ou endereços IP previamente autorizados. A exposição direta da administração do firewall à internet aumenta significativamente a superfície de ataque.
As equipes de segurança devem revisar os registros de autenticação, alterações de configuração, criação de usuários, conexões VPN e comandos executados no dispositivo. Comportamentos fora do padrão, acessos em horários incomuns e conexões originadas de países inesperados podem indicar comprometimento.
Troca de credenciais é essencial
Depois de atualizar o sistema, a organização deve considerar comprometidas as credenciais armazenadas ou acessíveis pelo firewall. Isso inclui senhas administrativas, usuários de VPN SSL, segredos de LDAP, chaves de Wi-Fi e chaves pré-compartilhadas.
A troca deve ser feita de forma coordenada, evitando apenas alterar a senha do administrador do FortiGate e manter os demais acessos intactos. Se o invasor tiver obtido uma chave de VPN ou uma conta de serviço, ele poderá retornar à rede mesmo após a atualização do dispositivo.
Também é importante ativar autenticação multifator para VPNs, contas administrativas e serviços críticos. O segundo fator não elimina a vulnerabilidade do firewall, mas reduz o impacto do roubo de senhas.
Como investigar sinais de comprometimento
A análise não deve se limitar ao FortiGate. É necessário examinar controladores de domínio, servidores LDAP, sistemas de gerenciamento, endpoints e plataformas de acesso remoto.
Entre os indícios que merecem atenção estão:
– logins bem-sucedidos após várias tentativas falhas;
– conexões VPN de locais ou horários atípicos;
– novos usuários ou alterações inesperadas em grupos administrativos;
– mudanças não autorizadas nas regras do firewall;
– tráfego entre segmentos que normalmente não se comunicam;
– arquivos ou processos desconhecidos no dispositivo;
– acesso repentino a servidores de backup e sistemas financeiros.
Se houver evidências de comprometimento, o equipamento deve ser isolado de maneira controlada, preservando os registros para análise forense. A simples restauração de uma configuração antiga pode não ser suficiente caso as credenciais roubadas continuem válidas.
Prevenção para reduzir novos riscos
Além de corrigir a CVE-2025-25249, as empresas devem manter um inventário atualizado de todos os dispositivos de borda, definir um processo formal de aplicação de patches e monitorar continuamente os acessos administrativos.
A segmentação de rede também reduz o alcance de uma invasão. Firewalls, servidores de autenticação, ambientes de usuários e sistemas críticos não devem permanecer em uma única zona com permissões amplas.
Por fim, os registros do FortiGate precisam ser encaminhados para uma plataforma central de monitoramento, como um SIEM. A correlação entre eventos do firewall, VPN, diretório corporativo e endpoints aumenta a capacidade de identificar o movimento lateral antes que ele resulte em roubo de dados ou paralisação das operações.