FBI：FortiBleed 攻击仍在持续，将 FortiGate VPN 管理员锁在门外

FBI 警告称，FortiBleed 攻击仍在持续，针对暴露在外的 Fortinet FortiGate 防火墙和 SSL VPN 网关，并将合法的管理员锁在门外。

黑客利用此前泄露的凭据，或从 infostealer 日志中获取的登录信息、撞库以及密码喷洒攻击，获得对暴露端点的访问权限。

随后，他们从已失陷设备中提取更多身份验证数据，并使用运行 Hashcat 和 Hashtopolis 的分布式 GPU 集群离线破解窃取的密码哈希。

据 FBI 称，"FortiBleed 攻击链已被观察到作为勒索软件附属组织的初始入口点。" 从中获益的一些组织包括 INC/Lynx 勒索软件和 Payload 勒索软件。

一泄再泄的泄露事件

FortiBleed 是 6 月发现的一起大规模 Fortinet 凭据泄露事件，当时攻击者无意中暴露了一台服务器，其中包含与 194 个国家、73,932 个防火墙 URL 相关的用户名和明文密码。

这些数据揭示了一次大规模的凭据收集行动，不过当时尚不清楚是使用何种方法获取这些配置数据的。

7 月，SOCRadar 在获得该活动中所用服务器上两个组织的谈判面板访问权限后，将 FortiBleed 与 INC 和 Lynx 勒索软件行动联系起来。

根据 SOCRadar 的最新统计，FortiBleed 已使 86,644 台设备失陷。

FBI 表示，在某些事件中，威胁行为者会创建管理员账户，并利用其权限删除现有管理员账户或更改其密码，使受害者无法访问其设备。

随后，攻击者建立持久化，并试图在环境中横向移动。

有关该行动的细节是在攻击者意外暴露其后端服务器后为人所知的，该服务器暴露了一个包含工具和数据集的目录。

这显示出其使用了自动化脚本扫描暴露的 FortiGate SSL VPN 门户、一套分布式 GPU 密码破解装置，以及用于验证凭据、过滤蜜罐、识别组织并按收入和网络结构对目标进行优先级排序的脚本。

此外，这次暴露还揭示了可用的 VPN 配置和目标列表，表明操作者正在将失陷的访问权限打包出售。

FBI 警告称，修复可能不仅仅需要打补丁和重置 Fortinet 密码，还建议限制外部访问、终止所有活动的 VPN 会话、强制实施 MFA，并审查日志以查找未经授权的更改和可疑活动。

他们还建议对管理员密码存储强制使用 PBKDF2，这比攻击者能够实际离线破解的传统 SHA-256 哈希要强得多。