FBI Warns FortiBleed Remains Active After Amassing 86,644 Fortinet Device Credentials
The Hacker News · 7 oct, 13:56
Qué hacer: Habilita autenticación resistente a phishing, termina sesiones SSL VPN y administrativas activas, restablece contraseñas, utiliza PBKDF2 para almacenar credenciales administrativas y revisa logs para detectar actividad sospechosa.
La FBI y el Servicio Secreto estadounidense advierten que la campaña de recolección de credenciales FortiBleed sigue activa contra firewalls FortiGate y puertas de enlace SSL VPN de Fortinet expuestas en Internet. Los atacantes han obtenido más de 86.644 credenciales válidas en 194 países desde junio de 2026, utilizando contraseñas comprometidas anteriormente y almacenamiento heredado con SHA-256. La operación, vinculada a actores de habla rusa, sirve como intermediaria de acceso inicial que vende el acceso robado a operadores de ransomware como INC y Lynx.
FortiBleed es una campaña de cinco etapas que comienza con reconocimiento a gran escala para identificar portales expuestos, seguido de acceso mediante credential stuffing y password spraying basado en datos de filtraciones previas e infostealers. A continuación, despliegan una herramienta llamada FortigateSniffer para interceptar pasivamente tráfico de autenticación en 24 protocolos y recopilar credenciales y hashes de contraseña. Los hashes se envían a un clúster de cracking acelerado por GPU usando Hashmat y Hashtopolis, y las contraseñas descifradas se utilizan para movimiento lateral, enumeración de Active Directory, validación Kerberos y autenticación SMB.
Las credenciales verificadas se enriquecen, clasifican y validan mediante scripts que filtran honeypots y priorizan objetivos de alto valor según ingresos y estructura de red. Los atacantes crean nuevas cuentas administrativas para mantener persistencia, expanden el acceso mediante password spraying y finalmente exfiltran datos sensibles de recursos compartidos mientras utilizan cookies de sesión robadas para mantener acceso persistente. La operación es sospechosa de ser una intermediaria de acceso inicial que empaqueta la información robada para venderla a actores posteriores, como operadores de ransomware.
Puntos clave
- Más de 86.644 credenciales válidas de dispositivos Fortinet en 194 países comprometidas desde junio de 2026
- Campaña activa que explota contraseñas reutilizadas y almacenamiento SHA-256 heredado mediante credential stuffing y password spraying
- Herramienta FortigateSniffer intercepta autenticación en 24 protocolos; cracking acelerado por GPU con Hashmat y Hashtopolis
- Los atacantes crean cuentas persistentes, enumeran privilegios y venden acceso a operadores de ransomware INC y Lynx
- CISA recomienda autenticación resistente a phishing, restablecer contraseñas, implementar PBKDF2 y revisar logs de actividad sospechosa