FortiBleed segue fazendo vítimas e FBI confirma ataques em andamento
O FBI e o Serviço Secreto dos Estados Unidos (USSS) alertaram que criminosos estão usando credenciais associadas à campanha FortiBleed para comprometer dispositivos Fortinet e, em alguns casos, impedir que as próprias organizações acessem seus firewalls.
Em um alerta conjunto, as agências citaram dados verificados pela SOCRadar que apontam mais de 86.644 dispositivos comprometidos em 194 países. Segundo o documento, algumas vítimas podem perder o acesso aos equipamentos Fortinet depois que os invasores excluem contas legítimas ou alteram suas senhas.
Durante a invasão inicial, os hackers também criam novas contas que não existiam anteriormente nos dispositivos. Em determinados casos, contas existentes são removidas para dificultar a recuperação do ambiente e manter a persistência enquanto os invasores tentam realizar movimentação lateral pela rede.
A campanha tem como alvo firewalls FortiGate e gateways SSL VPN expostos à internet. Os criminosos utilizam credenciais obtidas em vazamentos anteriores e registros coletados por malwares infostealers para executar ataques de credential stuffing e password spraying.
Depois de obter acesso aos equipamentos, os invasores extraem hashes de senhas e tentam quebrá-los offline utilizando clusters acelerados por GPUs, ampliando a possibilidade de reutilização das credenciais em outros sistemas e etapas do ataque.
Diante da atividade, FBI e USSS recomendam restringir o acesso às interfaces de gerenciamento expostas à internet, encerrar sessões administrativas e VPN ativas, redefinir senhas e habilitar autenticação multifator resistente a phishing.
O alerta também relaciona a FortiBleed a operações de ransomware. Segundo as autoridades, initial access brokers — criminosos especializados em obter e comercializar acesso inicial a redes corporativas — forneceram ambientes comprometidos para afiliados de grupos de ransomware.
As evidências disponíveis apontam para o uso dessas credenciais por afiliados ligados aos grupos INC/Lynx e Payload. Em julho, a SOCRadar informou ter identificado pelo menos 12 ataques de ransomware confirmados decorrentes da campanha FortiBleed.
FBI e Serviço Secreto pediram que organizações afetadas comuniquem os incidentes às autoridades, embora tenham ressaltado que o fornecimento dessas informações não é obrigatório em resposta ao alerta. As agências afirmam que os relatos podem ajudar na identificação de indicadores de comprometimento e também recomendam que vítimas não realizem pagamentos de resgate.
