Το Ομοσπονδιακό Γραφείο Ερευνών των Η.Π.Α. (FBI) και η Μυστική Υπηρεσία (USSS) προειδοποίησαν την Τρίτη ότι η εκστρατεία συλλογής διαπιστευτηρίων FortiBleed παραμένει μια ενεργή απειλή που στοχεύει τα firewalls Fortinet FortiGate και τις πύλες εικονικού ιδιωτικού δικτύου (VPN) ασφαλούς υποδοχής (SSL) που είναι εκτεθειμένες στο διαδίκτυο.
Δείτε επίσης: FortiBleed Foreign Office: Credentials του UK στο Dark Web
“Η εκστρατεία εκμεταλλεύεται επαναχρησιμοποιημένα ή διαρρεύσαντα διαπιστευτήρια και την παλαιότερη αποθήκευση κωδικών πρόσβασης SHA-256, επιτρέποντας στους κακόβουλους παράγοντες να συλλέγουν και να σπάνε δεδομένα αυθεντικοποίησης σε μεγάλη κλίμακα,” ανέφεραν οι υπηρεσίες. “Τα αρχικά ευρήματα δείχνουν ότι οι επιτιθέμενοι συνεχίζουν να σαρώνουν τα εκτεθειμένα στο διαδίκτυο firewalls της Fortinet χρησιμοποιώντας προηγουμένως αποκτηθέντα συμβιβασμένα διαπιστευτήρια.“
Η FortiBleed καταγράφηκε για πρώτη φορά από την SOCRadar στο Hudson Rock τον Ιούνιο του 2026, με τη δραστηριότητα να στοχεύει χιλιάδες firewalls της Fortinet ως μέρος μιας παγκόσμιας εκστρατείας. Συνολικά, η ρωσόφωνη επιχείρηση εκτιμάται ότι έχει συγκεντρώσει περισσότερα από 86,644 λειτουργικά διαπιστευτήρια συσκευών σε 194 χώρες μέχρι τις 19 Ιουνίου 2026.
Η εκστρατεία προκάλεσε στη συνέχεια την Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των Η.Π.Α. (CISA) να προτρέψει τους πελάτες της Fortinet με συσκευές FortiGate να ενεργοποιήσουν την αυθεντικοποίηση ανθεκτική στο phishing, να τερματίσουν τις ενεργές συνεδρίες SSL VPN και διαχειριστικές συνεδρίες, να επαναφέρουν τους κωδικούς πρόσβασης VPN και διαχειριστών της Fortinet, να χρησιμοποιήσουν τον αλγόριθμο Password-Based Key Derivation Function 2 (PBKDF2) για την αποθήκευση διαπιστευτηρίων διαχειριστή και να εξετάσουν τα αρχεία καταγραφής για σημάδια ύποπτης δραστηριότητας.
Η FortiBleed είναι μια εκστρατεία πέντε σταδίων που διεξάγει εκτεταμένη αναγνώριση για να εντοπίσει εκτεθειμένες πύλες, να αποκτήσει πρόσβαση σε αυτές τις συσκευές χρησιμοποιώντας credential stuffing και password spraying βασισμένα σε δεδομένα που αποκτήθηκαν από προηγούμενες διαρροές και αρχεία infostealer, και στη συνέχεια να αναπτύξει ένα εργαλείο βασισμένο σε Go που ονομάζεται FortigateSniffer για να παρεμβάλλεται παθητικά στην κυκλοφορία αυθεντικοποίησης σε 24 πρωτόκολλα και να συλλέγει διαπιστευτήρια και κατακερματισμούς κωδικών πρόσβασης.
Οι κατακερματισμοί κωδικών πρόσβασης στη συνέχεια κατευθύνονται σε ένα σύμπλεγμα cracking με επιτάχυνση GPU που χρησιμοποιεί Hashmat και Hashtopolis για offline cracking, μετά το οποίο χρησιμοποιούνται για τη διευκόλυνση της πλευρικής κίνησης, της απαρίθμησης Active Directory, της επικύρωσης Kerberos και της αυθεντικοποίησης SMB. Στο τελικό στάδιο, ευαίσθητα δεδομένα από κοινόχρηστα δίκτυα εξάγονται ενώ κλεμμένα cookies συνεδρίας χρησιμοποιούνται για να διατηρηθεί η επίμονη, αυθεντικοποιημένη πρόσβαση.
Δείτε επίσης: Fortinet: Διορθώσεις για κρίσιμες ευπάθειες σε FortiMonitorOnSight & Chrome Extension
“Τα σπασμένα διαπιστευτήρια εμπλουτίστηκαν, ταξινομήθηκαν και επικυρώθηκαν, με σενάρια να φιλτράρουν honeypots, να χαρτογραφούν οργανισμούς και να δίνουν προτεραιότητα σε στόχους υψηλής αξίας με βάση τα έσοδα και τη δομή του δικτύου,” ανέφεραν οι υπηρεσίες. “Δημιουργήθηκαν νέοι λογαριασμοί διαχειριστών στο firewall για να διατηρηθεί η επιμονή.”
Με τα επικυρωμένα διαπιστευτήρια στο χέρι, οι επιτιθέμενοι έχουν βρεθεί να κινούνται βαθύτερα στα περιβάλλοντα των θυμάτων, να διεξάγουν απαρίθμηση και να εκτελούν password spraying για να επεκτείνουν την πρόσβαση και να εντοπίσουν προνομιούχους λογαριασμούς.
Επιπλέον, η αρχική πρόσβαση χρησιμοποιείται για την προσθήκη νέων λογαριασμών στο σύστημα ως ένας τρόπος διατήρησης της επιμονής στη συσκευή. Ορισμένα από τα συνήθως αναγνωρισμένα ονόματα συμβιβασμένων λογαριασμών παρατίθενται παρακάτω.
Ο αντίπαλος υποψιάζεται ότι είναι ένας μεσίτης αρχικής πρόσβασης που συσκευάζει τις κλεμμένες πληροφορίες και τις πωλεί σε κακόβουλους παράγοντες κατώτερης βαθμίδας. Αυτό αποδεικνύεται από το γεγονός ότι οι επικαλύψεις χειριστών συνδέουν τη FortiBleed με τις επιχειρήσεις ransomware INC και Lynx, πιθανώς υποδεικνύοντας ότι η πρόσβαση καταχράται για την ανάπτυξη ransomware.
“Με βάση τις αρχικές απαντήσεις, ορισμένα θύματα μπορεί να αποκλειστούν από τις συσκευές Fortinet τους εάν ο κακόβουλος παράγοντας είτε διαγράψει είτε αλλάξει τον κωδικό πρόσβασης για τους αρχικούς λογαριασμούς στο σύστημα,” προειδοποίησαν το FBI και η USSS.
“Κατά την αρχική εισβολή, οι κακόβουλοι παράγοντες δημιουργούν νέους λογαριασμούς που δεν υπήρχαν προηγουμένως στη συσκευή. Σε ορισμένες περιπτώσεις, οι κακόβουλοι παράγοντες διαγράφουν υπάρχοντες λογαριασμούς για να εμποδίσουν τους οργανισμούς από την πρόσβαση στις επηρεαζόμενες συσκευές και να διατηρήσουν την επιμονή στο σύστημα ενώ προσπαθούν πλευρική κίνηση εντός του περιβάλλοντος.“
Δείτε επίσης: Η νέα πλατφόρμα FortiGate της Fortinet συνδυάζει τεχνολογίες firewall και SASE
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Εάν εντοπιστεί πιθανή παραβίαση, οι οργανισμοί συνιστάται να απομονώσουν τις επηρεαζόμενες συσκευές, να συλλέξουν τα απαραίτητα αρχεία και καταγραφές, να αναφέρουν το περιστατικό στο FBI και την USSS και να εφαρμόσουν τα σχετικά αντίμετρα.
