FBI هشدار می‌دهد کارزار FortiBleed همچنان فعال است و مدیران را از دستگاه‌های FortiGate بیرون می‌راند

FBI و نهاد آمریکایی USSS هشدار داده‌اند که FortiBleed، کارزاری برای جمع‌آوری اعتبارنامه‌ها که فایروال‌های Fortinet FortiGate و درگاه‌های SSL VPN قابل‌دسترس از اینترنت را هدف گرفته است، همچنان ادامه دارد. به گفتهٔ SOCRadar، این توصیه‌نامهٔ مشترک در 6 اکتبر 2026 منتشر شد. به گزارش The Hacker News، این نهادها گفتند مهاجمان همچنان فایروال‌های در معرض اینترنت Fortinet را اسکن می‌کنند و اعتبارنامه‌هایی را که پیش‌تر به دست آورده بودند امتحان می‌کنند. خود متن توصیه‌نامه برای این گزارش قابل بررسی نبود؛ محتوای آن در اینجا بر پایهٔ توصیف The Hacker News، BleepingComputer و SOCRadar از آن است.

تغییر اصلی در پیامد آن برای قربانیان است. مهاجمان پس از ورود، حساب‌های مدیر جدیدی می‌سازند که پیش‌تر روی دستگاه وجود نداشت. به گفتهٔ FBI و USSS به نقل از The Hacker News و BleepingComputer، آنها در برخی رخدادها سپس حساب‌های مدیریتی اصلی را حذف می‌کنند یا اطلاعات ورود آنها را تغییر می‌دهند، به‌طوری که تیم فناوری اطلاعات مشروع دیگر نمی‌تواند فایروال خود را مدیریت کند، در حالی که نفوذگران کنترل را در دست نگه می‌دارند و می‌کوشند بیشتر به درون شبکه پیش بروند. این نهادها هشدار می‌دهند که بازیابی ممکن است به چیزی بیش از اعمال وصله‌ها و بازنشانی اعتبارنامه‌های Fortinet نیاز داشته باشد. SOCRadar به مدافعان توصیه می‌کند اطمینان حاصل کنند که راهی خارج از باند (out-of-band) برای بازپس‌گیری کنترل مدیریتی دستگاه‌های لبهٔ شبکه در اختیار دارند.

طبق گزارش‌ها، مهاجمان نخستین جای پای خود را با اعتبارنامه‌هایی از نشت‌های پیشین یا لاگ‌های بدافزارهای سرقت اطلاعات (infostealer)، یا از طریق حملات پرکردن اعتبارنامه (credential stuffing) و پاشش رمز عبور (spraying) به دست می‌آورند. سپس داده‌های احراز هویت بیشتری را از دستگاه‌های نفوذشده بیرون می‌کشند؛ The Hacker News ابزاری مبتنی بر Go به نام FortigateSniffer را توصیف می‌کند که ترافیک ورود را در 24 پروتکل به‌صورت غیرفعال شنود می‌کند. هش‌های اعتبارنامه به‌صورت آفلاین روی یک خوشهٔ GPU توزیع‌شده که Hashcat و Hashtopolis را اجرا می‌کند شکسته می‌شوند. این نهادها گفتند این کارزار از اعتبارنامه‌های تکراری یا پیش‌تر افشاشده و نیز از ذخیره‌سازی قدیمی SHA-256 روی دستگاه‌ها سوءاستفاده می‌کند. سپس اسکریپت‌ها هانی‌پات‌ها (honeypots) را کنار می‌گذارند، سازمان‌های پشت هر دستگاه را شناسایی می‌کنند و اهداف را بر اساس درآمد و ساختار شبکه رتبه‌بندی می‌کنند. BleepingComputer گزارش می‌دهد که این جزئیات پس از آن آشکار شد که گردانندگان به‌طور تصادفی سرور پشتیبان (backend) خود را در معرض دید گذاشتند.

FBI گفت: «زنجیرهٔ حملهٔ FortiBleed به‌عنوان نقطهٔ ورود اولیه برای همکاران باج‌افزاری مشاهده شده است». به گفتهٔ SOCRadar، توصیه‌نامه این همکاران پایین‌دستی را در حال حاضر شامل INC/Lynx و باج‌افزار Payload می‌داند. گرداننده مظنون است که به‌عنوان کارگزار دسترسی اولیه فعالیت می‌کند و پیکربندی‌های کارآمد VPN و فهرست‌های اهداف را در قالب بسته‌هایی برای فروش به دیگر مجرمان آماده می‌کند. SOCRadar که نخستین بار در ماه ژوئن FortiBleed را مستند کرد، بیش از 86,644 دستگاه نفوذشده در 194 کشور را شمارش کرده و تأکید می‌کند که این رقم مربوط به نفوذهای تأییدشده است، نه برآوردی از دستگاه‌های در معرض. این شرکت به The Hacker News گفت که دست‌کم 12 مورد استقرار باج‌افزار ناشی از این دسترسی را تأیید کرده است که در آنها صدها نقطهٔ پایانی رمزگذاری شده‌اند. Ensar Seker، مدیر ارشد امنیت اطلاعات (CISO) در SOCRadar، گفت این توصیه‌نامه از دیدگاه شرکت پشتیبانی می‌کند که «FortiBleed باید به‌عنوان یک عملیات دسترسی فعال در نظر گرفته شود، نه یک نشت یک‌بارهٔ اعتبارنامه».

گام‌های توصیه‌شده از بازنشانی اعتبارنامه‌ها فراتر می‌رود. طبق گزارش‌ها، این گام‌ها شامل محدودکردن یا حذف دسترسی مدیریتی از اینترنت، پایان‌دادن به همهٔ نشست‌های فعال VPN و مدیریتی، بازنشانی اعتبارنامه‌های VPN و مدیریتی Fortinet، الزام به احراز هویت چندعاملی مقاوم در برابر فیشینگ، مقایسهٔ پیکربندی‌ها با یک خط مبنای سالمِ شناخته‌شده و بررسی لاگ‌های فایروال، VPN، احراز هویت و کنترل‌کنندهٔ دامنه (domain controller) برای یافتن تغییرات غیرمجاز است. اعتبارنامه‌های مدیر باید به‌جای هش‌های قدیمی SHA-256، که مهاجمان می‌توانند آنها را به‌صورت آفلاین بشکنند، با PBKDF2 ذخیره شوند. SOCRadar می‌گوید توصیه‌نامه همچنین به SSH اشاره می‌کند که عاملان ممکن است در مواردی که پورت باز مانده بود از آن سوءاستفاده کرده باشند، و نیز به اعتبارنامه‌های غیرمجاز REST API که پس از بازنشانی باقی می‌مانند. از سازمان‌هایی که نفوذ احتمالی را تشخیص می‌دهند خواسته شده است دستگاه‌های آسیب‌دیده را ایزوله کنند، لاگ‌ها و شواهد را جمع‌آوری کنند و حادثه را به FBI و USSS گزارش دهند. Ben Bernstein از Huntress گفت: «وقتی دیگر به فایروال خودتان دسترسی ندارید، نمی‌توانید صرفاً یک وصلهٔ نرم‌افزاری اعمال کنید و از آن بگذرید».