FBI, Secret Service add to warnings of FortiBleed credential stealing campaign
The Record · 7 oct, 14:50
Qué hacer: Restringe la administración externa de dispositivos, restableced todas las credenciales de administrador y terminad todas las sesiones VPN de administrador activas.
Más de 86.000 firewalls Fortinet FortiGate y puertas de enlace VPN expuestos a Internet han sido comprometidos en la campaña FortiBleed, según advirtieron el FBI y el Servicio Secreto estadounidense. Los atacantes utilizan credenciales reutilizadas o filtradas para realizar credential stuffing y password spraying a escala masiva, afectando a organizaciones en 194 países. La campaña se ha utilizado como punto de entrada inicial para ataques de ransomware de grupos como INC/Lynx y Payload.
El FBI y el Servicio Secreto revelaron que la operación de robo de credenciales lleva meses activa después de que los propios atacantes expusieran su servidor backend, revelando su flujo de trabajo interno. Los atacantes escaneaban portales SSL VPN de FortiGate expuestos en Internet, identificaban dispositivos alcanzables mediante scripts automatizados y recopilaban grandes volúmenes de credenciales mediante credential stuffing y password spraying. Las credenciales robadas se ordenaban, validaban y organizaban según los ingresos o la estructura de red de la organización víctima, y se creaban nuevas cuentas en los dispositivos firewall para mantener el acceso.
Según un análisis de SOCRadar publicado en julio, se identificaron más de 20 afiliados de los grupos INC y Lynx en roles definidos escaneando miles de portales FortiGate en más de 150 países, con al menos 12 organizaciones comprometidas y cifradas con ransomware. El FBI y el Servicio Secreto recomendaron restricción del acceso remoto a dispositivos, restablecimiento de credenciales y terminación de todas las sesiones VPN de administrador.
Puntos clave
- Más de 86.000 firewalls FortiGate comprometidos en 194 países mediante credential stuffing y password spraying
- Los atacantes obtuvieron datos de credenciales robadas previamente o filtradas en la red
- La campaña se utilizó como punto de entrada inicial para ransomware de grupos INC/Lynx y Payload
- Restringir o eliminar la administración externa de dispositivos y restablecer todas las credenciales
- Terminar todas las sesiones VPN de administrador activas