FortiBleed показва как компрометирани защитни устройства могат да се превърнат в източник на масова кражба на достъпи

Обзор

Кампанията FortiBleed поставя фокус върху един от най-чувствителните рискове в корпоративната инфраструктура: компрометирани защитни устройства, които се използват за събиране на идентификационни данни и достъп до вътрешни среди.

Публичните анализи описват FortiBleed като мащабна кампания за събиране на достъпи, насочена основно към интернет-достъпни Fortinet FortiGate защитни стени и VPN среди. Според различни източници първоначално са били открити десетки хиляди потвърдени Fortinet/FortiGate идентификационни данни, а по-задълбочен анализ на SOCRadar описва много по-широк обхват на кампанията, включително над 430 000 таргетирани FortiGate устройства.

Fortinet посочва, че случаят не е резултат от нова zero-day уязвимост, а по-скоро от комбинация от стари достъпи, интернет-достъпни интерфейси, неправилни конфигурации и повторна употреба на идентификационни данни.

Какво се случва

FortiBleed излиза наяве след откриване на изложена инфраструктура, свързана с кампания за събиране на достъпи. В различни публични публикации се посочва, че изнесените данни включват URL адреси на Fortinet/FortiGate устройства, потребителски имена, имейли и пароли, част от които са били потвърдени като валидни.

По-широкият анализ на SOCRadar описва FortiBleed като дейност на финансово мотивиран initial access broker, тоест група, която събира и продава първоначален достъп до организации. Това е важен детайл, защото подобни достъпи често се използват по-късно от ransomware групи, оператори на кражба на данни или други атакуващи.

Кампанията не се ограничава само до Fortinet. В някои анализи се посочва и разузнаване срещу други услуги и устройства, което показва по-широк модел на масово търсене на достъп до гранична инфраструктура.

Как работи атаката

FortiBleed не трябва да се разбира като единичен пробив в една организация. По-скоро става дума за промишлено организирана операция за събиране, проверка и използване на достъпи.

Типичният модел включва няколко етапа:

• откриване на интернет-достъпни FortiGate устройства и VPN портали;
• използване на изтекли, стари или повторно използвани идентификационни данни;
• проверка дали достъпите все още работят;
• събиране на конфигурационни данни, хешове, пароли или сесийна информация;
• използване на достъпа за по-нататъшно движение в мрежата;
• продажба или повторна употреба на достъпа от други групи.

В по-задълбочения анализ се описва и употреба на инструменти за прихващане и обработка на трафик, както и инфраструктура за разбиване на хешове. Това показва, че целта не е само еднократен вход, а изграждане на мащабна база с работещи достъпи.

Защо това има значение

FortiGate устройствата често стоят на границата между организацията и интернет. Те управляват VPN достъп, филтриране на трафик, политики за свързване и комуникация между външни и вътрешни среди.

Когато такова устройство бъде компрометирано или се използва с валидни откраднати достъпи, рискът е значителен:

• атакуващият може да получи вход към вътрешната мрежа;
• VPN достъпът може да изглежда легитимен;
• съществува риск от кражба на допълнителни идентификационни данни;
• възможно е странично придвижване към вътрешни системи;
• достъпът може да бъде продаден на други групи;
• реакцията може да се забави, ако активността изглежда като нормална административна или VPN сесия.

Това прави случая особено важен за организации, които разчитат на периметърни устройства, но нямат достатъчна видимост върху тяхната активност.

Потенциален ефект

Потенциалният ефект зависи от това дали дадена организация присъства в изтеклите данни, дали паролите са били валидни към момента на изтичането и дали достъпът е бил използван след това.

Възможните последствия включват:

• компрометирани VPN акаунти;
• достъп до административни интерфейси;
• събиране на вътрешна информация;
• злоупотреба с Active Directory идентичности;
• достъп до споделени файлови ресурси;
• подготовка за ransomware атака;
• по-широко изтичане на данни;
• необходимост от спешна смяна на пароли и преглед на логове.

Особено важно е, че смяната само на FortiGate администраторската парола може да не е достатъчна. Ако през устройството са били прихванати или използвани други идентификационни данни, трябва да се прегледат и свързаните VPN, RADIUS, LDAP, Active Directory и административни акаунти.

Препоръчителни действия

Организациите, които използват Fortinet FortiGate или Fortinet VPN, трябва да третират FortiBleed като повод за незабавен преглед на експозицията, достъпите и логовете.

Приоритетни действия:

• проверка дали домейни, IP адреси или устройства присъстват в публично достъпни FortiBleed exposure проверки;
• смяна на FortiGate администраторски и VPN пароли;
• смяна на свързани RADIUS, LDAP и Active Directory пароли при риск;
• въвеждане или преглед на многофакторната автентикация;
• премахване на управленски интерфейси от директен интернет достъп;
• ограничаване на административния достъп само до доверени IP адреси или VPN;
• преглед на SSH, SSL VPN и администраторските логове;
• търсене на необичайни входове, масови опити за достъп и входове от непознати държави;
• проверка за промени в конфигурацията;
• обновяване до поддържани версии на FortiOS;
• преглед на политиките за съхранение и повторна употреба на пароли.

DIAMATIX перспектива

FortiBleed показва защо защитната инфраструктура не трябва да се разглежда като автоматично доверена само защото е „security device“.

Граничните устройства са силна точка на контрол, но и силна точка на риск. Когато VPN портал, firewall или управляващ интерфейс остане изложен, неактуален или защитен със слаби/стари пароли, той може да се превърне в входна точка за по-дълбок компромис.

Основният извод не е само „сменете паролите“. Важно е да се разбере дали достъпите вече са били използвани, какво е било достъпно през тях и дали има признаци за странично придвижване.

Защитата трябва да комбинира:

• управление на уязвимости;
• наблюдение на VPN и firewall активност;
• контрол върху привилегирован достъп;
• анализ на логове;
• смяна и валидиране на идентификационни данни;
• проверка за признаци на компромис;
• реакция при инцидент, когато има доказателства за неоторизиран достъп.

CISO анализ

От гледна точка на CISO FortiBleed е риск за периметъра, идентичностите и оперативната устойчивост.

Ключовите въпроси са:

• Кои FortiGate устройства са достъпни от интернет?
• Има ли административни интерфейси, които не трябва да бъдат публично достъпни?
• Използват ли се стари или повторно използвани пароли?
• Всички VPN акаунти ли са защитени с многофакторна автентикация?
• Можем ли да видим необичайни VPN и SSH входове?
• Има ли следи от промяна в конфигурацията?
• Ако дадена парола е изтекла, знаем ли къде още е използвана?
• Може ли SOC екипът да различи нормален VPN вход от достъп на атакуващ с валидни данни?

Този тип кампания показва, че валидните идентификационни данни често са по-опасни от експлойт. Те позволяват на атакуващия да изглежда като легитимен потребител или администратор, докато подготвя следващите си действия.

Какво означава това за вашата среда

• Този тип атака разчита на валидни или повторно използвани идентификационни данни, интернет-достъпни периметърни устройства и липса на достатъчна видимост върху VPN и административната активност.
• Откриването зависи от наблюдение на firewall, VPN, SSH, RADIUS, LDAP и Active Directory активност, както и от проверка на необичайни входове и конфигурационни промени.
• Реакцията изисква смяна на достъпи, ограничаване на управленските интерфейси, преглед на логове, проверка за странично придвижване и непрекъснато наблюдение след първоначалното овладяване.

Знаете ли дали вашите FortiGate устройства са били изложени в подобни datasets?

Можете ли да откриете неоторизиран VPN вход, ако атакуващият използва валидни идентификационни данни?

Виж как подобни кампании за кражба на достъпи се анализират и управляват в реална оперативна среда.

Свържете се с DIAMATIX
Trusted · Innovative · Vigilant

Източници

• SOCRadar. Dismantling FortiBleed technical report.
• Fortinet. Public response to FortiBleed campaign.
• BleepingComputer. FortiBleed leak reporting.
• Recorded Future. FortiBleed campaign analysis.

Статията е базирана на публично достъпна техническа информация и анализи към юни 2026 г.