Advierte que FortiBleed sigue activo tras recopilar 86.644 credenciales de dispositivos Fortinet
Segu-Info · 7 oct, 16:23
Qué hacer: Habilita autenticación resistente al phishing, finaliza sesiones administrativas y VPN SSL activas, restablece contraseñas de administrador y VPN, cambia el almacenamiento de credenciales a PBKDF2, y revisa los logs de acceso en busca de actividad sospechosa.
El FBI y el Servicio Secreto estadounidense advierten que FortiBleed, una campaña activa de recopilación de credenciales dirigida a firewall Fortinet FortiGate y puertas de enlace VPN SSL expuestos a Internet, ha comprometido más de 86.644 credenciales válidas en 194 países. Los actores rusos explotan credenciales filtradas y sistemas heredados de almacenamiento SHA-256 para acceder masivamente a dispositivos Fortinet, escaneando continuamente sistemas expuestos con credenciales previamente comprometidas.
FortiBleed es una campaña de cinco etapas documentada por primera vez en junio de 2026 por SOCRadar y Hudson Rock. Los atacantes realizan reconocimiento para identificar portales expuestos, obtienen acceso mediante credential stuffing y password spraying basados en filtraciones previas e infostealers, y despliegan una herramienta maliciosa llamada FortigateSniffer basada en Go que intercepta pasivamente el tráfico de autenticación en 24 protocolos para recopilar credenciales y hashes de contraseñas.
Los hashes capturados se envían a un clúster de descifrado acelerado por GPU que utiliza Hashcat y Hashtopolis para el descifrado offline. Las credenciales descifradas se emplean para facilitar movimiento lateral, enumeración de Active Directory, validación Kerberos, autenticación SMB y exfiltración de datos confidenciales de recursos compartidos. CISA ha instado a los clientes de Fortinet a habilitar autenticación resistente al phishing, finalizar sesiones activas, restablecer contraseñas, utilizar PBKDF2 para almacenar credenciales y revisar logs de actividad sospechosa.
Puntos clave
- Más de 86.644 credenciales comprometidas en 194 países hasta junio de 2026
- Herramienta FortigateSniffer intercepta tráfico de autenticación en 24 protocolos
- Hashes descifrados con GPU usando Hashcat y Hashtopolis para ataques posteriores
- Actores de habla rusa continúan escaneando firewall Fortinet expuestos a Internet
- CISA recomienda PBKDF2, autenticación resistente al phishing y reseteo de credenciales