FBI подтвердило продолжающиеся атаки с использованием FortiBleed

Что произошло

FBI и US Secret Service выпустили совместное предупреждение о продолжающихся атаках с использованием учётных данных, связанных с кампанией FortiBleed. По данным SOCRadar, подтверждено более 86 644 скомпрометированных устройств в 194 странах.

Целью атак являются доступные из интернета межсетевые экраны FortiGate и шлюзы SSL VPN. Злоумышленники применяют credential stuffing и password spraying с данными из прежних утечек и логов infostealer, затем извлекают хеши паролей и подбирают их офлайн с помощью GPU-кластеров. При первоначальном проникновении они могут создавать новые учётные записи. Они также могут удалять исходные учётные записи или менять их пароли, из-за чего некоторые пострадавшие организации могут лишиться доступа к устройствам Fortinet; удаление аккаунтов позволяет сохранять присутствие для дальнейшего перемещения по сети. Имеющиеся данные указывают на использование учётных данных аффилиатами, работающими на вымогательские группы INC/Lynx и Payload.

Что это значит для тех, кто работает с Безопасность серверов

Для серверной инфраструктуры FortiGate и SSL VPN остаются критической точкой входа: потеря доступа к сетевому устройству и дальнейшее перемещение злоумышленников внутри среды могут быть последствиями атаки. Риск требует проверки доступных из интернета интерфейсов управления и действующих учётных записей, особенно если ранее использовались пароли, попавшие в утечки.

Что делать

• Ограничить доступ из интернета к интерфейсам управления FortiGate.
• Завершить активные административные и VPN-сеансы.
• Сбросить пароли учётных записей и проверить наличие новых либо удалённых аккаунтов.
• Включить многофакторную аутентификацию, устойчивую к фишингу.