FBI: Ongoing FortiBleed attacks lock out FortiGate VPN admins
BleepingComputer · 7 oct, 23:28
El FBI advierte que los ataques FortiBleed continúan activos contra cortafuegos Fortinet FortiGate y puertas de enlace SSL VPN, bloqueando a los administradores legítimos. Los atacantes utilizan credenciales filtradas o robadas mediante infostealers para comprometer dispositivos, extrayendo datos de autenticación adicionales que luego descifran sin conexión utilizando clústeres de GPU distribuidas. El FBI ha vinculado estos ataques a los grupos de ransomware INC/Lynx y Payload, quienes utilizan este acceso inicial para facilitar operaciones de rescate.
FortiBleed es un filtrado masivo de credenciales de Fortinet descubierto en junio que expuso nombres de usuario y contraseñas en texto plano asociadas a 73.932 URLs de cortafuegos en 194 países. Según el recuento más reciente de SOCRadar, los dispositivos comprometidos ascienden a 86.644. El FBI señala que en algunos incidentes, los actores de amenaza crean cuentas de administrador y utilizan sus privilegios para eliminar cuentas de administrador existentes o cambiar sus contraseñas, negando a las víctimas acceso a sus dispositivos.
Los detalles sobre la operación salieron a la luz después de que el atacante expusiera accidentalmente su servidor backend, revelando un directorio con herramientas y conjuntos de datos. Esto mostró el uso de scripts automatizados para escanear portales SSL VPN de FortiGate expuestos, una configuración de descifrado de contraseñas con GPU distribuidas, y scripts para validar credenciales, filtrar honeypots, identificar organizaciones y priorizar objetivos por ingresos y estructura de red. La exposición también reveló configuraciones de VPN funcionales y listas de objetivos, indicando que el operador estaba empaquetando acceso comprometido para la venta.
Puntos clave
- 86.644 dispositivos FortiGate comprometidos por la filtración FortiBleed de junio
- Atacantes utilizan clústeres de GPU distribuidas ejecutando Hashcat y Hashtopolis para descifrar hashes offline
- Grupos de ransomware INC/Lynx y Payload utilizan FortiBleed como punto de entrada inicial
- Mitigar requiere MFA, revisar registros, terminar sesiones VPN activas y aplicar PBKDF2 para almacenamiento de contraseñas