ФБР: кампания FortiBleed всё ещё жива, 86 тысяч учёток Fortinet
ФБР и Секретная служба США предупредили: кампания FortiBleed против интернет-шлюзов FortiGate и SSL VPN не закончилась. Агентства пишут про повторно использованные и слитые пароли и про старое хранение хешей SHA-256, которое удобно ломать офлайн. Пересказ — по The Hacker News. Это не бюллетень «поставьте патч и забудьте».
Что считают кампанией
SOCRadar и Hudson Rock описали FortiBleed в июне. К 19 июня, по SOCRadar, подтверждённо скомпрометированы больше 86 644 устройств в 194 странах — это не оценка «могли задеть», а посчитанный инвентарь. Дальше операторы продолжают сканировать те же порталы уже известными паролями.
Цепочка в материале такая: найти открытый портал → подобрать пароль из старых сливов и логов стилеров → снять трафик аутентификации инструментом FortigateSniffer → отдать хеши на GPU-кластер → ходить дальше в домен, SMB и файловые шары, держаться на украденных cookie. На самом шлюзе заводят новых администраторов. Часть имён, которые агентства встречали, маскируется под поддержку: fortiAdmin, Technical_support, adminsslvpn. Иногда исходные учётки меняют или удаляют — и своя команда больше не входит на своё железо.
Доступ, по оценке, продают как вход. SOCRadar связывает его с INC и Lynx и подтверждает не меньше 12 выкладок ransomware и сотни зашифрованных узлов. Тот же вход отдавали аффилиатам Payload. Энсар Секер формулирует: старый пароль не становится безопасным от возраста, если он всё ещё подходит или на устройстве уже сидит чужой админ.
Где это в модели зрелости
Пароль на краю и лишний админ — доступ. Если вход уже продали под шифровальщик — инциденты. Соседний разбор края без учётки — Ivanti Connect Secure.
Как проверить
Снимите список локальных и API-учёток на каждом FortiGate и SSL VPN. Неизвестное имя — отозвать, сессии оборвать, пароли администраторов и VPN сменить, включить устойчивый ко фишингу второй фактор, хранение паролей администратора перевести на PBKDF2, как просила CISA. Управление с интернета закройте. Старый слив из июня не «устарел»: если пароль всё ещё подходит, устройство в том же контуре.
В журнале ищите успешный вход без серии ошибок: в этой кампании пароль часто подходит с первой попытки. Если на шлюз уже не пускают — это отдельный инцидент, не «патч не встал»: Хантress пишет, что дальше часто нужен физический сброс. Сверьте список администраторов с кадровым учётом: имя «как у поддержки Fortinet» не значит, что его заводили вы.
Свой порядок первых суток — здесь. Лишние админы на шлюзе — тот же контур, что и привилегированный доступ.
Источники
- The Hacker News. FBI Warns FortiBleed Remains Active After Amassing 86,644 Fortinet Device Credentials. URL: https://thehackernews.com/2026/10/fbi-warns-fortibleed-remains-active.html.
