Fortibleed

A campanha FortiBleed, recentemente descoberta, está ligada a operações de ransomware como INC e Lynx, com credenciais roubadas sendo utilizadas para intrusões subsequentes. A SOCRadar revelou que a operação de roubo de credenciais afetou aproximadamente 11.250 portais FortiGate em mais de 150 países, resultando em acesso administrativo confirmado em 409 alvos e a conclusão bem-sucedida da cadeia de ataque em 354 deles. Pelo menos 12 implantações de ransomware foram registradas, criptografando centenas de endpoints nas organizações afetadas. Os atacantes realizaram varreduras sistemáticas na internet em busca de dispositivos Fortinet expostos, utilizando combinações de credenciais conhecidas e implantando sniffer de pacotes para coletar dados de autenticação. Estima-se que 430.000 firewalls FortiGate tenham sido alvo da operação, com mais de 110 milhões de credenciais coletadas. A atividade foi exposta devido a um erro de segurança operacional dos atacantes, que deixou um servidor com credenciais roubadas acessível na internet. A SOCRadar também identificou que os operadores da FortiBleed estão em posse de pelo menos uma vulnerabilidade zero-day no Nextcloud, e a empresa está coordenando com o fornecedor afetado.

A campanha de roubo de credenciais FortiBleed, que comprometeu mais de 73 mil dispositivos Fortinet, está ligada a operações de ransomware dos grupos INC e Lynx. Um servidor exposto na internet continha arquivos de configuração do FortiGate e credenciais coletadas de dispositivos comprometidos. A SOCRadar, responsável pela investigação, revelou que os atacantes utilizaram uma ferramenta personalizada chamada ‘FortiGate Sniffer’ para interceptar dados de autenticação, como credenciais de VPN, diretamente do tráfego de rede. A análise de um servidor Windows associado à infraestrutura do FortiBleed revelou acesso a painéis de negociação de ransomware, indicando que os atores de ameaça estavam diretamente envolvidos com as operações de extorsão. A campanha, que inicialmente afetou mais de 430 mil firewalls FortiGate, agora tem cerca de 11 mil dispositivos comprometidos. Além disso, os pesquisadores acreditam que uma vulnerabilidade zero-day do Nextcloud foi explorada para expandir o acesso após a invasão inicial. A SOCRadar planeja lançar um documento técnico adicional com mais detalhes sobre as evidências e indicadores de comprometimento.

Um broker de acesso inicial de língua russa, motivado por ganhos financeiros, está por trás de uma operação de coleta de credenciais em larga escala chamada FortiBleed, que já afetou mais de 430.000 firewalls FortiGate em todo o mundo desde fevereiro de 2026. A campanha envolve a coleta de listas de credenciais, busca por serviços expostos e ataques de força bruta em sistemas acessíveis. Os atacantes utilizam uma ferramenta chamada FortigateSniffer, que captura credenciais em texto claro e hashes de senhas de tráfego que passa por dispositivos comprometidos. A operação é focada em pequenas e médias empresas, especialmente nos setores de TI, nos Estados Unidos e na Índia. Além disso, a FortiBleed faz parte de uma operação mais ampla que também visa dispositivos de outros fornecedores, como Synology e Sophos. Até agora, os atacantes identificaram mais de 110 milhões de credenciais, incluindo 14,8 milhões de credenciais RADIUS e 89 milhões de tokens de autenticação MySQL. A campanha é caracterizada por um ciclo de 300 minutos de operações, com uma taxa de validação de 90% nas primeiras tentativas. A situação é crítica, pois os atacantes estão utilizando métodos sofisticados e automatizados para explorar vulnerabilidades em dispositivos amplamente utilizados.

A empresa de segurança SOCRadar revelou que a campanha FortiBleed, que visa dispositivos Fortinet FortiGate, utiliza ferramentas personalizadas para coletar segredos de autenticação de firewalls comprometidos. O relatório indica que mais de 430 mil firewalls foram alvos desde fevereiro de 2026, resultando na coleta de credenciais de VPN de mais de 80 mil URLs de firewall em todo o mundo. Os atacantes, atuando como corretores de acesso inicial, empregam técnicas como credential stuffing e brute-force para obter acesso a redes corporativas. Um dos principais instrumentos utilizados é o ‘FortigateSniffer’, uma ferramenta baseada em Golang que explora a funcionalidade de diagnóstico do FortiOS para capturar tráfego de autenticação. O tráfego é monitorado em 24 protocolos, e os dados coletados são processados para extrair credenciais e hashes de senhas. Os atacantes também teriam baixado arquivos de configuração do FortiGate para obter credenciais hash, que foram quebradas usando clusters de GPU. A situação é preocupante para organizações que utilizam dispositivos Fortinet, que devem investigar se foram afetadas por essa campanha.

Nesta semana, o cenário de cibersegurança apresenta ameaças recorrentes, incluindo a campanha FortiBleed, que comprometeu mais de 80 mil dispositivos Fortinet FortiGate em todo o mundo. A campanha, que começou em fevereiro de 2026, utiliza credenciais reutilizadas de incidentes anteriores e técnicas de força bruta, destacando a importância de práticas de segurança robustas, como a autenticação multifator (MFA). Além disso, a Salesforce desativou a integração do aplicativo Klue após um incidente de extorsão que resultou no acesso não autorizado a dados de clientes. A operação de ransomware Gentlemen também está desenvolvendo ferramentas para desativar produtos de detecção de endpoint, enquanto uma nova vulnerabilidade no Splunk permite a execução remota de código sem autenticação. Por fim, um exploit de hardware, chamado usbliter8, afeta chips Apple A12 e A13, sendo impossível de ser corrigido. Essas ameaças ressaltam a necessidade de vigilância contínua e atualização das práticas de segurança em ambientes corporativos.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) alertou os clientes da Fortinet sobre uma campanha de ataque chamada FortiBleed, que comprometeu mais de 86 mil dispositivos FortiGate acessíveis pela internet. Acredita-se que o ataque seja realizado por atores de ameaça de língua russa, que utilizam uma abordagem automatizada para explorar credenciais padrão e específicas de organizações. Dados da SOCRadar indicam que 35% das credenciais comprometidas são contas administrativas genéricas, enquanto 28,3% são contas do sistema Fortinet. Os setores mais afetados incluem telecomunicações, governo e educação, com a maioria das exposições localizadas na Índia, EUA, México, Colômbia e Tailândia. O ataque envolve a varredura em massa de dispositivos Fortinet e o uso de combinações conhecidas de login e senha para obter acesso. A CISA recomenda que as organizações terminem todas as sessões ativas, redefinam senhas e implementem autenticação multifator (MFA) para mitigar os riscos. O incidente destaca a importância de práticas adequadas de segurança de senhas e a vulnerabilidade de dispositivos de segurança de perímetro a ataques automatizados.

Um novo vazamento de dados, denominado ‘FortiBleed’, revelou credenciais de VPN da Fortinet e FortiGate de 73.932 URLs de firewall em organizações ao redor do mundo. O pesquisador de segurança Bob Diachenko descobriu um servidor contendo credenciais válidas, incluindo nomes de usuário, endereços de e-mail e senhas em texto simples. Entre as empresas afetadas estão Chevron, Samsung, Foxconn e AT&T. A operação foi supostamente realizada por um grupo de ameaças de língua russa, que realizou mais de 1,16 bilhões de tentativas de credenciais contra alvos da FortiGate. Os atacantes interceptaram hashes de autenticação SSL VPN e os quebraram usando um cluster de 45 GPUs. O vazamento também inclui informações sobre a indústria, receita e número de funcionários de cada organização, possivelmente para planejar ataques. A empresa de inteligência de ameaças Hudson Rock analisou os dados e confirmou que o conjunto contém 73.932 URLs únicas de firewall em 194 países, afetando 21.632 domínios únicos. O vazamento é considerado um dos maiores conjuntos de credenciais comprometidas relacionadas à Fortinet já descobertos.