Федералното бюро за разследване на САЩ (ФБР) и Тайните служби на САЩ (USSS) във вторник предупредиха, че кампанията за събиране на идентификационни данни FortiBleed остава активна заплаха, насочена към защитни стени Fortinet FortiGate, достъпни през интернет, и шлюзове за виртуални частни мрежи (VPN) с протокол Secure Socket Layer (SSL).

„Кампанията се възползва от повторно използвани или изтекли пароли и остаряло съхранение на пароли чрез SHA-256, което позволява на киберпрестъпниците да събират и разбиват данни за автентификация в голям мащаб“, заявиха агенциите. „Първоначалните констатации показват, че атакуващите продължават да сканират изложени в интернет защитни стени на Fortinet, използвайки предварително получени компрометирани данни за достъп.“

FortiBleed бе документирана за първи път от SOCRadar в Hudson Rock през юни 2026 г., като активността бе насочена към хиляди защитни стени на Fortinet като част от глобална кампания. В общ план се оценява, че рускоезичната операция е придобила повече от 86 644 работещи идентификационни данни за устройства в 194 държави към 19 юни 2026 г.

Впоследствие кампанията накара Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) да призове клиентите на Fortinet с устройства FortiGate да активират автентификация, защитена от фишинг, да прекратят активните SSL VPN и административни сесии, да нулират VPN и административните пароли на Fortinet, да използват алгоритъма Password-Based Key Derivation Function 2 (PBKDF2) за съхранение на административни данни и да прегледат логовете за признаци на подозрителна активност.

FortiBleed е кампания от пет етапа, която извършва широкомащабно разузнаване за идентифициране на изложени портали, придобива достъп до тези устройства чрез атака с компрометирани пароли (credential stuffing) и подбор на пароли (password spraying) въз основа на данни от предишни изтичания и логове от софтуер за кражба на информация (infostealer), а след това внедрява инструмент на Go, наречен FortigateSniffer, за пасивно прихващане на трафика за автентификация по 24 протокола и събиране на идентификационни данни и хешове на пароли.

След това хешовете на паролите се пренасочват към клъстер за разбиване с графични ускорители (GPU), който използва Hashmat и Hashtopolis за офлайн разбиване, след което те се използват за улесняване на страничното придвижване (lateral movement), обхождане на Active Directory, валидация на Kerberos и SMB автентификация. В финалния етап чувствителни данни от мрежови споделени ресурси се извличат (exfiltrated), докато откраднатите бисквитки за сесия се използват за поддържане на персистентен, автентифициран достъп.

„Разбитите данни за достъп бяха обогатени, сортирани и потвърдени, като скриптове филтрираха капани (honeypots), картографираха организации и приоритизираха високостойностни цели въз основа на приходите и структурата на мрежата“, казаха агенциите. „На защитната стена бяха създадени нови административни профили с цел запазване на персистентността.“

С потвърдените данни за достъп в ръка е установено, че атакуващите навлизат по-дълбоко в средите на жертвите, извършват разузнаване и подбор на пароли, за да разширят достъпа и да идентифицират привилегировани акаунти.

В допълнение, първоначалният достъп се използва за добавяне на нови профили в системата като начин за поддържане на персистентност върху устройството. Някои от често идентифицираните компрометирани имена на акаунти са изброени по-долу -

  • adminin
  • fortiAdmin
  • forticloud-sync
  • admin
  • fgtsecure
  • pakedge
  • forticloud-tech
  • districtadmin
  • system_config
  • gttadmin
  • roadmin
  • itadmin
  • Technical_support
  • adminsslvpn
  • IT_Manager
  • my_admin
  • support_fortinet
  • fgtsec
  • forti_support2

Заподозреният автор на заплахата е брокер на първоначален достъп (initial access broker), който пакетира откраднатата информация и я продава на други киберпрестъпници. Това се потвърждава от припокриването на оператори, свързващи FortiBleed с операции с рекетьорски софтуер (ransomware) на групите INC и Lynx, което вероятно показва, че достъпът се използва за внедряване на рансъмуеър.

„Въз основа на първоначалните данни някои от жертвите могат да загубят достъп до своите устройства Fortinet, ако злонамереният субект изтрие или промени паролата за оригиналните профили в системата“, предупредиха ФБР и USSS.

„По време на първоначалното проникване киберпрестъпниците създават нови профили, които преди това не са съществували на устройството. В определени случаи атакуващите изтриват съществуващи акаунти, за да блокират организациите от достъп до засегнатите устройства и да поддържат персистентност в системата, докато се опитват да извършат странично придвижване в средата.“

Ако бъде открита потенциална компрометация, на организациите се препоръчва да изолират засегнатите устройства, да съберат необходимите артефакти и логове, да съобщят за инцидента на ФБР и USSS и да приложат съответните мерки за противодействие за намаляване на заплахата.