FBI: атаките FortiBleed изхвърлят админите от FortiGate

ФБР и Сикрет Сървис на САЩ публикуваха на 6 октомври съвместен бюлетин (CSA 261006), в който предупреждават, че кампанията FortiBleed срещу защитните стени FortiGate и SSL VPN порталите на Fortinet продължава и в момента. Заглавието на документа е недвусмислено: операциите водят до „сигнали за заключване“ — нападателите създават свои администраторски акаунти, трият или сменят паролите на съществуващите и реалните администратори остават извън собственото си устройство. Според проверка на SOCRadar става дума за 86 644 компрометирани устройства в 194 държави.

Какво всъщност е FortiBleed

Въпреки името, FortiBleed не е уязвимост и няма собствен CVE номер. Става дума за огромен набор от работещи идентификационни данни за FortiGate, който изтече през юни, след като изследователят Володимир „Боб“ Дяченко откри незащитен сървър на атакуващите. Първоначалната оценка беше 73 932 адреса на защитни стени, а по-късният анализ на SOCRadar вдигна броя до 86 644 — данните са актуални към 19 юни 2026 г.

Проблемът е, че паролите на много устройства все още се пазят по стария алгоритъм SHA-256 вместо по PBKDF2. Преминаването към PBKDF2 не се случва автоматично — то влиза в сила чак когато съответният администратор влезе отново и паролата бъде презаписана. Дотогава хешовете си остават сравнително лесни за разбиване офлайн.

Снимка: The Hacker News

Пет етапа, промишлена организация

Бюлетинът описва кампанията като операция в пет стъпки, а не като еднократно изтичане:

1. Разузнаване — масово сканиране за публично достъпни портали за управление и SSL VPN.
2. Първоначален достъп — credential stuffing и password spraying с данни от стари изтичания и от логове на infostealer малуер.
3. Събиране на данни — на превзетите устройства се пуска FortigateSniffer, пасивен прехващач, написан на Go, който следи 24 протокола и прибира всичко, което прилича на идентификационни данни.
4. Разбиване — хешовете заминават към разпределен GPU клъстер с Hashcat и Hashtopolis.
5. Осребряване — достъпът се продава на партньори на ransomware групите.

Между четвъртата и петата стъпка има и нещо, което рядко се вижда толкова ясно описано: според ФБР „разбитите данни са обогатявани, сортирани и валидирани, като скриптове отсяват honeypot устройствата и приоритизират ценните цели по приходи и структура на мрежата“. Това не е случаен обстрел, а подбор на жертви по бизнес критерии.

Кой стои зад кампанията

SOCRadar свързва FortiBleed с операциите INC и Lynx, а бюлетинът добавя и партньори на Payload. Към момента има поне 12 потвърдени случая, в които достъпът от кампанията е довел до реално пускане на ransomware. Инфраструктурата също не е малка — анализът на SOCRadar проследи около 260 оперативни сървъра.

„FortiBleed трябва да се третира като активна операция за достъп, а не като еднократно изтичане на пароли“, казва Енсар Секер, CISO на SOCRadar, цитиран от The Hacker News.

Профилът на компрометираните акаунти обяснява защо заключването е толкова ефективно: около 35% са общи администраторски акаунти, а 28,3% — вградени системни акаунти на Fortinet. Сред имената, срещани по устройствата на жертвите, бюлетинът изброява:

admin, adminin, fortiAdmin, forticloud-sync, forticloud-tech,
fgtsecure, system_config, itadmin, roadmin, districtadmin

Какво да проверите днес

Основното предупреждение на ФБР е, че кръпка и смяна на паролите не стигат. Ако устройството е било достъпно отвън с компрометирани данни, нападателят най-вероятно вече си е оставил собствен акаунт.

Препоръките в бюлетина са конкретни:

• Ограничете достъпа до интерфейса за управление само до вътрешни мрежи.
• Прекратете всички активни VPN и административни сесии, после сменете паролите.
• Включете многофакторна автентикация, за предпочитане устойчива на фишинг.
• Проверете списъка с администратори ред по ред за акаунти, които не сте създавали.
• Прегледайте логовете за изтрити или преименувани акаунти и за промени в конфигурацията.
• Уверете се, че паролите реално се пазят по PBKDF2, а не по стария SHA-256.

Бюлетинът съдържа и списък с IP адреси и потребителски имена, забелязани по устройствата на жертвите — полезен материал за търсене назад в логовете.

Заключение

FortiBleed е добър пример защо „изтекли пароли“ звучи скучно, докато не се окаже, че те отварят периметровото устройство на цяла организация. Кампанията не се нуждае от zero-day — достатъчни са стар алгоритъм за съхранение на пароли, преизползвани данни и публично достъпен портал.

ФБР повтаря и стандартния си съвет да не се плаща откуп — тема, по която тази седмица дойде показателна илюстрация. The Register описа обвинението срещу собственика на MonsterCloud, който тайно плащал откупите, докато уверявал клиентите си, че разполага със собствена технология за дешифриране. Паралелно с това Южна Корея разследва пробиви във финансови институции, при които се подозира автоматизация — знак, че мащабът на подобни кампании едва ли ще намалее.

Повече по темата можете да прочетете в BleepingComputer и Help Net Security.