Kaj se je zgodilo
FBI in ameriška tajna služba (U.S. Secret Service) sta 6. oktobra 2026 objavila skupno varnostno obvestilo o kampanji FortiBleed, ki je usmerjena v krajo poverilnic z internetno izpostavljenih Fortinet FortiGate požarnih zidov in SSL VPN prehodov. Po navedbah The Hacker News kampanja izkorišča ponovno uporabljene ali uhajale poverilnice ter zastarelo shranjevanje gesel s SHA-256, kar napadalcem omogoča nadaljnje dejavnosti. Podjetje SOCRadar je kampanjo FortiBleed prvič dokumentiralo junija, zdaj pa gre za nadgradnjo razumevanja njenega obsega in posledic.
Po navedbah CSO Online so preiskovalci pridobili dostop do zalednega strežnika, ki so ga napadalci pustili izpostavljenega, kar jim je omogočilo vpogled v infrastrukturo operacije. Ta je vključevala sisteme za obdelavo ukradenih poverilnic, razbijanje zgoščenih vrednosti gesel in iskanje potencialnih tarč. Napadalci naj bi organizacije razvrščali tudi glede na prihodke in strukturo omrežja. Po podatkih iz preiskave je kampanja doslej prizadela več kot 80.000 naprav po svetu, natančneje 86.644 poverilnic Fortinet naprav, kot navaja The Hacker News.
Najbolj zaskrbljujoč element, ki ga izpostavlja SOCRadar, je, da lahko organizacije ostanejo zaklenjene iz lastnih FortiGate naprav, saj napadalci poleg ustvarjanja novih administratorskih računov za vztrajnost (tehnika T1136.001) v nekaterih primerih brišejo ali spreminjajo gesla obstoječih legitimnih računov (tehnika T1531, odstranitev dostopa do računa). Branilci tako lahko izgubijo dostop do lastne naprave, medtem ko napadalec dostop ohrani.
Kaj to pomeni za slovenska in evropska podjetja
FortiGate naprave so med evropskimi organizacijami pogosto uporabljene za zunanji dostop prek SSL VPN, zato je izpostavljenost potencialno velika povsod, kjer so take naprave dostopne z interneta. Po navedbah vira gre pri FortiBleed vse bolj za vprašanje vztrajnosti napadalcev, ne le kraje poverilnic. Kot je dejal Muhammad Yahya Patel iz Huntress, so bile poverilnice ukradene že pred meseci, ključno vprašanje za vsako organizacijo pa je, ali se te poverilnice še vedno uporabljajo. Po navedbah FBI so napadalci ustvarjali administratorske račune, pregledovali okolja Active Directory in uporabljali ukradene poverilnice za bočno gibanje po omrežju.
Priporočeni ukrepi
- Preverite, ali so FortiGate požarni zidovi in SSL VPN prehodi dostopni neposredno z interneta, in omejite izpostavljenost, kjer je to mogoče.
- Preglejte seznam administratorskih računov na napravah in preverite morebitne nepooblaščene ali nove račune.
- Preverite dnevnike glede sprememb ali brisanja gesel obstoječih računov, kar lahko kaže na poskus odvzema dostopa legitimnim uporabnikom.
- Zamenjajte poverilnice, povezane s Fortinet napravami, zlasti če obstaja sum na ponovno uporabo gesel ali starejše mehanizme shranjevanja gesel.
- Spremljajte morebitne znake bočnega gibanja in nenavadnega poizvedovanja po okolju Active Directory.
- Preberite celotno skupno obvestilo FBI in U.S. Secret Service, saj vsebuje podrobnosti za obsega preiskave, lov na indikatorje in odpravo ranljivosti.
Vprašanja in odgovori
Ali je FortiBleed povezan s točno določeno ranljivostjo? V razpoložljivih virih ni navedena konkretna CVE številka; kampanja je po navedbah opisana kot izkoriščanje ponovno uporabljenih ali uhajalih poverilnic in zastarelega shranjevanja gesel.
Koliko naprav je po navedbah prizadetih? Po navedbah preiskave FBI je prizadetih več kot 80.000 naprav, natančneje gre za 86.644 pridobljenih poverilnic Fortinet naprav.
Ali lahko organizacije izgubijo dostop do lastnih naprav? Da, po navedbah SOCRadar lahko napadalci izbrišejo ali spremenijo gesla legitimnih računov, kar lahko povzroči, da branilci izgubijo dostop, medtem ko napadalec dostop ohrani.
Pogosta vprašanja
Ali je FortiBleed povezan s točno določeno ranljivostjo?
V razpoložljivih virih ni navedena konkretna CVE številka; kampanja je opisana kot izkoriščanje ponovno uporabljenih ali uhajalih poverilnic in zastarelega shranjevanja gesel.
Koliko naprav je po navedbah prizadetih?
Po navedbah preiskave FBI je prizadetih več kot 80.000 naprav, natančneje gre za 86.644 pridobljenih poverilnic Fortinet naprav.
Ali lahko organizacije izgubijo dostop do lastnih naprav?
Da, napadalci lahko izbrišejo ali spremenijo gesla legitimnih računov, kar lahko povzroči, da branilci izgubijo dostop, medtem ko napadalec dostop ohrani.