ФБР: кампания FortiBleed собрала 86 644 учётных записей с устройств Fortinet и продолжает работать

ФБР и Секретная служба США во вторник выпустили совместное предупреждение: кампания по сбору учётных данных, получившая имя FortiBleed, по-прежнему активна и нацелена на доступные из интернета межсетевые экраны Fortinet FortiGate и шлюзы SSL VPN.

По данным ведомств, злоумышленники используют повторно применяемые или утёкшие пароли, а также устаревший способ хранения паролей на основе SHA-256 — это позволяет похищать и взламывать данные аутентификации в промышленных масштабах. Первичный анализ показывает, что атакующие продолжают сканировать открытые межсетевые экраны Fortinet, подставляя ранее добытые скомпрометированные учётные записи.

Впервые FortiBleed описали SOCRadar и Hudson Rock в июне 2026 года. Русскоязычная операция, по оценкам, добыла более 86 644 рабочих учётных записей устройств в 194 странах по состоянию на 19 июня 2026 года. После огласки CISA призвала клиентов Fortinet включить устойчивую к фишингу аутентификацию, завершить активные сессии SSL VPN и администраторов, сбросить пароли, перейти на алгоритм PBKDF2 для хранения учётных данных администраторов и проверить журналы.

Пять этапов атаки

Кампания состоит из пяти стадий. Сначала проводится широкая разведка открытых порталов, затем доступ получают методами credential stuffing и password spraying на основе прежних утечек и логов инфостилеров. Далее разворачивается написанный на Go инструмент FortigateSniffer, который пассивно перехватывает трафик аутентификации по 24 протоколам и собирает пароли и их хеши.

Хеши отправляются на GPU-кластер для офлайн-взлома (используются Hashmat и Hashtopolis), после чего служат для горизонтального перемещения, перечисления Active Directory, проверки Kerberos и аутентификации по SMB. На финальной стадии с сетевых ресурсов выгружаются данные, а украденные cookie сессий обеспечивают постоянный доступ. Для закрепления на устройстве создаются новые административные учётные записи.

Злоумышленник, как предполагается, выступает брокером первоначального доступа и перепродаёт добытое: пересечения операторов связывают FortiBleed с группами вымогателей INC и Lynx. ФБР предупреждает, что часть жертв может лишиться доступа к своим устройствам — атакующие иногда удаляют или меняют пароли исходных учётных записей, чтобы заблокировать владельцев и сохранить контроль.

При подозрении на компрометацию рекомендуется изолировать затронутые устройства, собрать артефакты и журналы, сообщить в ФБР и Секретную службу и применить меры защиты.

Источник: The Hacker News