ФБР и Секретная служба предупредили о кампании FortiBleed против Fortinet
Редакция XORit · Источники, использование AI и исправления
ФБР и Секретная служба США выпустили совместное предупреждение о кампании FortiBleed. Она началась в июне 2026 года и остаётся активной: атакуют межсетевые экраны FortiGate и VPN-шлюзы Fortinet, доступные из интернета. Отличительная черта кампании в том, что злоумышленники меняют пароли и удаляют учётные записи, и организация может потерять доступ к собственному оборудованию.
По анализу Fortinet, для захвата плохо защищённых устройств использовали ранее скомпрометированные учётные данные и перебор паролей. За первую неделю атаки затронули более 86 000 устройств Fortinet в 190 странах, а ответственность тогда возлагали на российского брокера первичного доступа. Теперь SOCRadar сообщает о примерно 86 644 подтверждённых скомпрометированных устройствах в 194 странах.
SOCRadar отдельно оговаривает, что это количество подтверждённых взломов, а не оценка подверженности: устройства, скомпрометированные месяцами ранее, остаются в проверенном инвентаре атакующих. ФБР и USSS отмечают, что удаление существующих учётных записей нужно и для блокировки доступа, и для удержания в системе при попытке двигаться дальше по сети.
Среди приёмов, описанных в предупреждении: сканирование открытых порталов SSL VPN, сбор учётных данных из логов инфостилеров и старых утечек, офлайн-взлом хешей паролей, картирование поверхности атаки для обхода honeypot-ловушек, а также продажа рабочих VPN-конфигураций и списков целей другим группировкам.
Что советуют ФБР и Секретная служба
Организациям рекомендуют выявить скомпрометированные узлы, оценить масштаб вторжения, вытеснить атакующих, усилить защиту и сообщить об инциденте. Чтобы сократить поверхность атаки, стоит ограничить доступ к управлению, сменить все пароли VPN и администраторов Fortinet, включить устойчивую к фишингу многофакторную аутентификацию, проверить пользователей, конфигурации и API-ключи, просмотреть логи на подозрительную активность и обеспечить безопасное хранение учётных данных.
Изображение: Premeditated CC BY-SA 4.0 · Лицензия
Редакторы перевода: Соловьев В., Пеков А.
Источник материала: www.securityweek.com ↗