FortiBleed: FBI și Secret Service, campanie activă pe FortiGate

Pe 6 octombrie 2026, FBI și Secret Service din SUA au publicat un aviz comun despre FortiBleed, campania de furt de credențiale împotriva firewallurilor Fortinet FortiGate și a gateway-urilor SSL VPN expuse pe Internet. Mesajul principal este că campania este încă activă: atacatorii continuă să scaneze dispozitivele accesibile din Internet folosind credențiale deja compromise. Nu există o vulnerabilitate nouă și nici un CVE: problema sunt credențialele și, de aceea, avertizează agențiile, actualizarea și schimbarea parolelor s-ar putea să nu fie suficiente.

Ce s-a întâmplat

FortiBleed a ieșit la iveală în iunie, când operatorii campaniei au lăsat expus din greșeală unul dintre serverele lor de backend, cu instrumente, scripturi și date. Potrivit BleepingComputer, acesta conținea nume de utilizator și parole în clar asociate cu 73.932 de adrese de firewall din 194 de țări. Avizul citează verificarea firmei de threat intelligence SOCRadar: peste 86.644 de dispozitive compromise în 194 de țări. CISO-ul SOCRadar a declarat pentru CyberScoop că operațiunea în ansamblu ar fi vizat între 400.000 și 450.000 de firewalluri, precizând că cifrele adunate în momente diferite nu sunt pe deplin comparabile.

Noutățile avizului privesc mai ales două aspecte:

• în unele incidente, atacatorii i-au blocat pe administratorii legitimi, ștergând conturile existente sau schimbându-le parola;
• lanțul de atac FortiBleed a fost observat ca punct de intrare pentru afiliați ransomware, prin initial access brokers care revând accesele. Publicațiile citează INC/Lynx și Payload (Infosecurity Magazine le enumeră ca trei grupuri: INC, Lynx și Payload). Încă din iulie, SOCRadar legase campania de INC și Lynx și, potrivit The Register, numărase cel puțin 12 atacuri ransomware confirmate pornite de la FortiBleed.

Detalii tehnice: lanțul de atac

Din aviz și din materialele găsite pe server, sursele reconstituie aceste etape:

1. Scanare automată a Internetului în căutarea portalurilor SSL VPN FortiGate expuse.
2. Credential stuffing și password spraying cu credențiale din scurgeri anterioare de date Fortinet și din logurile infostealerelor.
3. Extragerea altor date de autentificare de pe dispozitivele compromise, inclusiv hash-urile parolelor, care sunt apoi sparte offline pe un cluster de GPU (închiriate, potrivit CSO Online) cu Hashcat și Hashtopolis.
4. Selectarea țintelor: scripturi care validează credențialele, elimină honeypot-urile, identifică organizația și o clasifică după cifra de afaceri și structura rețelei. Potrivit BleepingComputer, serverul conținea și configurații VPN funcționale și liste de ținte, semn că accesele erau pregătite pentru vânzare.
5. Persistență: crearea de conturi noi de administrator pe firewall; în unele cazuri, potrivit CSO Online, și folosirea SSH acolo unde portul era expus.
6. Mișcare laterală: enumerarea Active Directory și password spraying intern pentru a găsi conturi privilegiate.
7. Blocarea administratorilor: ștergerea conturilor originale sau schimbarea parolei lor, pentru a îngreuna răspunsul și a păstra accesul.

Asupra etapei 3 apasă un detaliu: păstrarea parolelor de administrator în vechiul format SHA-256 face practicabilă spargerea lor la scară largă. Agențiile recomandă PBKDF2; Security Affairs relatează că Fortinet îl recomandă pentru parolele de administrator pe FortiOS 7.2.11 și versiunile ulterioare.

MITRE ATT&CK: avizul citează T1531 (Account Access Removal) pentru blocarea conturilor. Celelalte etape corespund tehnicilor T1133 (External Remote Services), T1110.004 (Credential Stuffing), T1110.003 (Password Spraying), T1110.002 (Password Cracking), T1078 (Valid Accounts), T1136 (Create Account) și T1087.002 (Domain Account Discovery).

Indicatori publicați

Potrivit Security Affairs, avizul indică 45.154.12[.]132 ca server de comandă și control, 154.202.59[.]169 și 103.27.186[.]156 ca noduri proxy și 45.155.250[.]158 ca releu pentru beaconuri. Printre numele conturilor găsite pe dispozitivele compromise apar admin, fortiAdmin și itadmin. Agențiile cer verificarea indicatorilor înainte de a-i bloca: o parte din infrastructură poate să fi fost alocată dinamic sau temporar.

Impactul pentru companiile europene și italiene

Cu 194 de țări implicate, campania nu privește doar Statele Unite: orice organizație cu un FortiGate sau un SSL VPN accesibile din Internet este o țintă potențială. Riscul depășește firewallul: un acces VPN valid este o intrare în rețeaua internă, iar accesele adunate sunt revândute grupurilor ransomware. Când credențialele au fost sparte offline, cum observă CSO Online, autentificarea reușește din prima încercare și nu lasă autentificări eșuate care să fie observate.

Pentru entitățile care intră sub incidența NIS2, compromiterea unui firewall sau a unui VPN este un incident de evaluat pentru notificarea către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN), care pentru incidentele semnificative cere o avertizare timpurie în 24 de ore. Aceeași atenție este necesară în sănătate, unde un ransomware poate întrerupe servicii esențiale.

Ce să faci acum

1. Redu expunerea: limitează administrarea din Internet doar la sisteme de încredere, inclusiv printr-o local-in policy, sau, mai bine, elimin-o complet.
2. Închide sesiunile și schimbă credențialele: încheie toate sesiunile administrative și VPN active și resetează parolele de administrator și VPN ale sistemelor expuse.
3. Activează MFA rezistentă la phishing pe toate accesele de la distanță și conturile de administrator.
4. Verifică configurația: caută utilizatori ai firewallului și ai VPN pe care nu îi cunoști, modificări neautorizate și chei REST API necunoscute sau neașteptate.
5. Analizează logurile firewallului, VPN, autentificării și controllerelor de domeniu în căutarea mișcării laterale și compară-le cu indicatorii din aviz.
6. Treci la PBKDF2 pentru păstrarea parolelor de administrator.
7. Dacă găsești o compromitere: izolează gazdele afectate, fă threat hunting pentru a delimita intruziunea și planifică eliminarea atacatorului (avizul trimite la CISA Eviction Strategies Tool). Agențiile recomandă să nu plătești răscumpărări.

Cum ajută ARXDOME

ARX Expose arată ce expune compania ta pe Internet, inclusiv porturi deschise și produse recunoscute, și semnalează conturile companiei implicate în breșe: te ajută să descoperi un portal VPN sau o interfață de administrare accesibile din exterior. ARX Sentry colectează logurile firewallurilor și, prin agent, evenimentele de pe computere și servere: paginile SOC despre identități arată autentificări privilegiate, rafale de încercări și modificări ale conturilor, iar harta NOC erorile VPN. Cu ARX Horizon poți căuta din portal indicatori de compromitere și reputația adreselor.

Ultima actualizare: 8 octombrie 2026