Проблема FortiBleed по-прежнему используется хакерами

ФБР и Секретная служба США (USSS) предупредили, что кампания FortiBleed по-прежнему активна и создает риски. По данным правоохранителей, злоумышленники продолжают атаковать доступные из интернета брандмауэры Fortinet FortiGate и SSL VPN-шлюзы, а некоторые пострадавшие организации в итоге теряют доступ к собственным устройствам.

Об этой масштабной кампании стало известно летом 2026 года. Тогда в сети обнаружили открытый сервер с базой данных, содержавшей десятки тысяч URL-адресов FortiGate и Fortinet VPN, а также логины, email-адреса и пароли. В итоге специалисты из компании SOCRadar подтвердили компрометацию 86 644 устройств в 194 странах мира.

Позже выяснилось, что проблема FortiBleed оказалась гораздо масштабнее простой утечки учетных данных. Исследователи пришли к выводу, что хакеры массово сканировали интернет, использовали данные из предыдущих утечек и логов инфостилеров для атак типа credential stuffing и password spraying, а затем устанавливали на взломанные FortiGate написанный на Go вредоносный инструмент FortigateSniffer.

Этот сниффер перехватывал проходящий через устройства трафик 24 протоколов и собирал пароли, NTLM- и Kerberos-хеши, тикеты и токены. В итоге собранные хеши отправлялись в GPU-кластер и взламывались офлайн, после чего полученные данные использовались для разведки Active Directory, дальнейшего продвижения по сетям жертв и доступа к их внутренним ресурсам.

Теперь в ФБР и USSS сообщают, что атаки продолжаются, а собранные учетные данные проходят дополнительную проверку и обработку. Специальные скрипты отсеивают ханипоты, сопоставляют данные с конкретными организациями и приоритизируют наиболее привлекательные цели с учетом их выручки и структуры сети. После проверки доступов атакующие продвигаются по инфраструктуре жертв, проводят разведку и атаки типа password spraying, чтобы расширить свой доступ и выявить привилегированные аккаунты.

При этом для закрепления в FortiGate злоумышленники создают новые административные учетные записи. Среди замеченных исследователями имен: fortiAdmin, forticloud-sync, fgtsecure, districtadmin, system_config, adminsslvpn, support_fortinet и forti_support2. Всего в бюллетене перечислено около двух десятков подобных аккаунтов, а администраторам рекомендуется проверить устройства на предмет неизвестных учетных записей.

Правоохранители отмечают, что в некоторых случаях операторы кампании FortiBleed не ограничиваются созданием собственных аккаунтов и меняют пароли для легитимных учетных записей или удаляют их, фактически блокируя сотрудникам компании доступ к собственному оборудованию. По данным ФБР и USSS, это помогает атакующим сохранить контроль, пока они пытаются продвинуться дальше по сети.

В американских ведомствах считают, что за FortiBleed стоит брокер первоначальных доступов, который собирает рабочие доступы, а затем передает или продает их другим преступникам. Ранее аналитики SOCRadar уже связывали эту кампанию с вымогательскими группировками INC Ransom и Lynx. Отмечалось, что как минимум в двенадцати случаях похищенные учетные данные в итоге использовались для развертывания шифровальщиков. В новом предупреждении правоохранителей также упоминается вымогательская малварь Payload.

Специалисты рекомендуют администраторам ограничить доступ к интерфейсам управления из интернета, завершить все активные административные и VPN-сессии, сменить пароли и включить многофакторную аутентификацию. При подозрении на компрометацию устройства следует изолировать его, проверить учетные записи и логи, а также собрать необходимые артефакты для проведения расследования.