Unit 42: атаки на FortiGate скрывают следы, отключая логи

Unit 42 описала кластер CL-STA-0954, который на пограничных устройствах Fortinet отключает генерацию syslog, чистит crash-логи, нарушает телеметрию и удаляет следы администратора и auto-script после выполнения. Защитникам советуют отслеживать не наличие вредоносных объектов, а пропажу событий и независимые проверки доступности.

• Атака отключает syslog, чистит crash-логи и нарушает телеметрию
• Вредоносные учётные записи и auto-script удаляются после выполнения
• ZoomEye нашла 2,68 млн активов FortiGate SSL VPN на 22 октября
• Детект строится на падении объёма логов и внешних проверках доступности