Pada Oktober 2024, Mandiant dan Fortinet melakukan investigasi eksploitasi masal pada 50 lebih perangkat FortiManager yang berpotensi dieksploitasi di berbagai industri. Eksploitasi memanfaatkan kerentanan CVE-2024-47575 dengan severity Critical (CVSS v3.1: 9.8). Mandiant menandai para pelaku dengan nama UNC5820, yang terlihat berhasil mencuri data konfigurasi & kredensial pengguna. Organisasi yang menggunakan FortiManager dan terlebih lagi dapat diakses dari internet, disarankan untuk melakukan penyelidikan forensik untuk mengidentifikasi potensi risiko yang mungkin sudah terjadi.

1. Pada tanggal 27 Juni 2024, beberapa perangkat FortiManager menerima koneksi dari alamat IP 45[.]32[.]41[.]202 pada port default TCP 541.
2. Setelah koneksi berhasil, pelaku membuat arsip yang berisi data konfigurasi penting pada file path /tmp/.tm yang kemudian tercatat dikirimkan ke beberapa IP lainnya. 
3. Pada sample korban lain di 23 September 2024, perangkat pelaku tercatat di sistem FortiManager sebagai Unauthorized Device dengan nama “FMG-VMTM23017412,” serta alamat IP 45[.]32[.]41[.]202. Ini menandakan bahwa eksploitasi dan eksfiltrasi data telah berhasil. 

1. Melakukan update ke fixed version dari FortiManager.
2. Membatasi akses ke portal admin FortiManager hanya untuk alamat IP internal yang disetujui.
3. Hanya mengizinkan alamat FortiGate yang diizinkan (whitelist) untuk berkomunikasi dengan FortiManager.
4. Deteksi dan cegah traffic yang berasal atau menuju IoC berikut:
   1. 158[.]247[.]199[.]37
   2. 195[.]85[.]114[.]78
   3. 45[.]32[.]41[.]202
   4. 104[.]238[.]141[.]143