Кампанията FortiBleed е свързана с над 86 600 компрометирани устройства в 194 държави. Нападателите крадат и разбиват пароли, създават скрити административни акаунти и препродават достъпа до корпоративни мрежи, който може да бъде използван за рансъмуер атаки.

Федералното бюро за разследване (ФБР) и Тайните служби на САЩ (USSS) предупреждават, че кампанията FortiBleed продължава да атакува достъпни през интернет защитни стени Fortinet FortiGate и SSL VPN шлюзове. Според съвместното предупреждение, публикувано на 6 октомври 2026 г., данни на SOCRadar потвърждават компрометирането на над 86 644 устройства в 194 държави.

Операцията използва повторно използвани или изтекли идентификационни данни, автоматизирани опити за удостоверяване и съхранени по остарели механизми пароли. След като получат валидни данни за достъп, извършителите могат да създават нови административни акаунти, да се придвижват между системите в компрометираната мрежа и да продават достъпа на други престъпни групи.

Рискът засяга и шестнадесетте сектора на критичната инфраструктура в САЩ, включително енергетиката, водоснабдяването, здравеопазването, комуникациите и транспорта. Особено сериозна е възможността организациите да загубят достъп до собствените си защитни устройства, ако нападателите променят пароли или изтрият легитимни акаунти.

От кражба на пароли до продажба на достъп

Разследването разкрива многоетапен модел на атака, чиито вътрешни механизми са станали видими след неволно излагане на сървър на извършителите. Според описанието на кампанията нападателите са изградили процес, който обхваща откриването на уязвими за злоупотреба устройства, събирането на удостоверителни данни, разбиването на пароли и последващото разпространение на достъпа.

Първоначално автоматизирани инструменти сканират интернет за достъпни FortiGate SSL VPN портали. След това се използват атаки с множество предварително известни комбинации от потребителски имена и пароли, както и опити с ограничен набор от често срещани пароли срещу множество акаунти. Сред източниците на данни са предишни изтичания на информация и записи, откраднати чрез зловреден софтуер за кражба на данни.

Откраднатите хешове на пароли се обработват чрез разпределен изчислителен клъстер с графични процесори. Инструментите Hashcat и Hashtopolis автоматизират и координират процеса по офлайн разбиване на паролите, при който се търсят съответствия между хешовете и предполагаемите оригинални пароли.

След възстановяването на паролите данните се проверяват, обогатяват и сортират. Скриптове филтрират потенциални примамки за наблюдение на нападатели, свързват идентификационните данни с конкретни организации и подпомагат избора на цели според предполагаемата им стойност.

При успешен достъп извършителите могат да създадат нови административни акаунти, да проучат Active Directory средата и да извършат допълнителни опити за удостоверяване с цел откриване на привилегировани потребители. Подготвените списъци с цели и работещи VPN конфигурации сочат към модел на брокер за първоначален достъп – престъпна структура, която продава достъп до вече компрометирани мрежи.

Опасност от блокиране на администраторите и рансъмуер атаки

ФБР и USSS предупреждават, че нападателите могат да променят паролите на съществуващи акаунти или да ги изтрият, за да попречат на законните администратори да управляват защитните устройства. Същевременно новосъздадените акаунти могат да осигурят устойчиво присъствие на извършителите дори след промяна на част от първоначалните идентификационни данни.

В някои случаи може да бъде използван и SSH достъп, ако съответният порт е отворен на защитната стена. Затова проверката не трябва да се ограничава до паролите на известните администратори. Необходимо е да се прегледат всички акаунти, разрешените методи за управление, конфигурационните промени и активните сесии.

Според предупреждението достъпът, получен чрез FortiBleed, е бил предоставян и на участници в рансъмуер операции, включително свързани с INC/Lynx и Payload. Това увеличава риска първоначалното компрометиране на мрежов шлюз да прерасне в кражба на данни, странично придвижване, прекъсване на дейността и криптиране на системи.

Какво трябва да направят организациите

ФБР и USSS препоръчват незабавно ограничаване на изложените на риск интерфейси и проверка за признаци на компрометиране. Приоритетът е да се намали възможността за външен административен достъп и да се прекъсне неоторизираното присъствие, без да се унищожават доказателства за инцидента.

Основните защитни мерки включват:

• Ограничаване на външното управление. Административните интерфейси на защитните стени не трябва да бъдат достъпни директно от интернет. Когато това е възможно, управлението следва да се ограничи до доверени адреси и контролирани административни мрежи.

• Прекратяване на активните сесии. Следва да бъдат прекратени активните административни и VPN сесии, а паролите на всички административни и VPN акаунти да бъдат сменени.

• Въвеждане на устойчиво многофакторно удостоверяване. Фишингоустойчивата многофакторна автентикация трябва да се изисква за отдалечения достъп и административните акаунти, включително за външните шлюзове и интерфейсите за управление.

• Проверка на акаунтите и конфигурациите. Всички акаунти трябва да бъдат прегледани за неизвестни или подозрителни записи. Конфигурациите на защитните стени и VPN шлюзовете следва да бъдат сравнени с предварително проверена базова конфигурация.

• Анализ на журналите. Журналите на защитните стени, VPN услугите, системите за удостоверяване и контролерите на домейни трябва да бъдат проверени за необичайни влизания, неоторизирани промени, подозрителни акаунти и странично придвижване.

• Проверка на съхранението на паролите. Организациите трябва да следват актуалните указания на Fortinet за използване на PBKDF2 и премахване на по-слаби наследени механизми за хеширане при поддържаните версии на FortiOS.

Реакцията при установено компрометиране

Ако има съмнение за пробив, първата задача е да се установят засегнатите устройства и акаунти. Компрометираните системи трябва да бъдат изолирани или изключени, когато това е необходимо за ограничаване на заплахата и може да се направи безопасно. При индустриални и критични среди действията трябва да бъдат координирани с отговорните оперативни екипи, за да не се предизвика допълнително прекъсване на критични процеси.

Следва целенасочено търсене на следи от нападателя. То включва събиране и анализ на журнали, конфигурации, данни за акаунти и други доказателства, които могат да помогнат за възстановяване на хронологията и определяне на използваните техники.

Едва след като бъде събрана достатъчно информация, трябва да се приложат мерки за отстраняване на нападателя, премахване на механизмите за устойчив достъп и възстановяване на сигурната конфигурация. За тази цел CISA предлага Eviction Strategies Tool – инструмент, който подпомага изготвянето на план за отстраняване на заплахата чрез съпоставяне на установените техники на нападателя с подходящи ответни действия.

Посочените в предупреждението IP адреси и други индикатори за компрометиране трябва да се проверяват спрямо актуалните данни на организацията, преди да се предприемат блокиращи действия. Част от инфраструктурата може да е разположена в облачни платформи, където адресите се преразпределят и по-късно могат да бъдат използвани от легитимни клиенти.

FortiBleed показва как компрометирането на един външен мрежов шлюз може да се превърне в отправна точка за по-мащабна атака. Защитата изисква не само смяна на пароли, а ограничаване на административния достъп, фишингоустойчиво удостоверяване, проверка на конфигурациите и систематично търсене на следи от проникване. При установен инцидент бързината е важна, но действията трябва да запазват доказателствата и да не създават допълнителен риск за критичните операции.