آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA) روز پنج‌شنبه از مشتریان Fortinet که دستگاه‌های FortiGate دارند خواست برای مقابله با فعالیت مخرب در حال اجرا علیه هزاران دستگاه در دسترس از اینترنت، اقدامات امنیتی انجام دهند.
این کمپین گسترده که گمان می‌رود کار عاملان تهدید روس‌زبان باشد، FortiBleed نام‌گذاری شده است. تعداد دستگاه‌های compromizeشده تا 19 ژوئن 2026 به 86,644 می‌رسد.
بر اساس داده‌های SOCRadar، حساب‌های admin عمومی (35%) و حساب‌های سیستمی داخلی Fortinet (28.3%) با هم اکثریت credentialهای compromizeشده را تشکیل می‌دهند. حساب‌های اختصاصی سازمان‌ها 36.7% از credentialهای compromizeشده باقی‌مانده را شامل می‌شوند.
«این مستقیماً به شکست گسترده در تغییر نام حساب‌های پیش‌فرض یا چرخش credentialهای کارخانه‌ای اشاره دارد و به مهاجم قبل از هر brute forceای، فهرست هدفی بسیار قابل‌اعتماد می‌دهد»، SOCRadar گفته است.
«قرار گرفتن حساب‌های اختصاصی سازمان در صدر فهرست قابل‌توجه است. این یعنی مهاجم فقط credentialهای پیش‌فرض را جمع‌آوری نمی‌کند، بلکه حساب‌هایی را که خود سازمان‌ها ایجاد کرده‌اند نیز compromize کرده است؛ احتمالاً از compromizeهای قبلی که در آن رمزها هرگز تغییر نکرده‌اند.»
بخش‌های مخابرات، دولت و آموزش به‌عنوان سه بخش برتر آسیب‌دیده ظاهر شده‌اند و بیشترین موارد افشا در هند، ایالات متحده، مکزیک، کلمبیا و تایلند قرار دارد.
گفته می‌شود عامل تهدید اینترنت را به‌صورت انبوه برای endpointهای ورود از راه دور Fortinet اسکن کرده و سپس از ابزار اختصاصی برای spray ترکیبات شناخته‌شده نام کاربری و رمز عبور روی آن endpointها استفاده کرده است.
حمله کاملاً خودکار بر پایه رویکرد دو مرحله‌ای و خودپایدار ساخته شده است —
- عامل تهدید فهرست انتخاب‌شده‌ای از رمزهای Fortinet افشاشده را علیه دستگاه‌ها در سراسر اینترنت امتحان می‌کند.
- پس از دستیابی به دسترسی، به‌صورت passive ترافیک شبکه عبوری از دستگاه‌ها را برای جمع‌آوری credentialهای اضافی پایش می‌کند که سپس برای compromize دستگاه‌های بیشتر استفاده می‌شوند.
credentialها مشروع و معتبر هستند و مهاجمان هر کدام را قبل از افزودن به پایگاه داده ورودهای تأییدشده و فعال، تأیید می‌کنند.
«مقیاس این compromize تقریباً هر بخش از اقتصاد جهانی را لمس می‌کند و هیچ صنعتی را مستثنی نمی‌گذارد»، Hudson Rock گفته است. «عاملان تهدید پایگاه داده تأییدشده‌ای از credentialهای فعال برای برخی از بزرگ‌ترین بنگاه‌های جهان ساخته‌اند.»
مرکز امنیت سایبری ملی بریتانیا (NCSC) FortiBleed را کمپینی جهانی توصیف کرده که فایرووال‌ها و دروازه‌های VPN Fortinet رو به اینترنت را با روش‌هایی مانند brute-force، حمله dictionary و credential stuffing هدف می‌گیرد.
مشکوک است عاملان تهدید از مکانیزم‌های قدیمی‌تر hash کردن credential و نحوه ذخیره‌سازی تاریخی credentialها در فایل‌های پیکربندی FortiGate برای انجام حمله در مقیاس بزرگ بهره برده باشند.
«Fortinet hash کردن رمز عبور مبتنی بر PBKDF2 برای credentialهای administrator را در FortiOS 7.2.11، 7.4.8 و 7.6.1 معرفی کرد و مکانیزم legacy مبتنی بر SHA-256 را جایگزین کرد»، Arctic Wolf گفته است. «با این حال، هنگام ارتقا از نسخه‌های قدیمی‌تر، رمزهای administrator موجود تا زمانی که administrator مربوطه پس از ارتقا با موفقیت وارد شود، به‌صورت hash SHA-256 ذخیره می‌مانند.»
«در نتیجه، بسیاری از سازمان‌ها احتمالاً همچنان credentialهای administrator را با مکانیزم‌های قدیمی‌تر SHA-256 with Salt ذخیره می‌کنند.»
در بیانیه‌ای که با The Hacker News به اشتراک گذاشته، سخنگوی Fortinet گفت «داده‌های درگیر احتمالاً بازنشر داده‌های compromizeهای قبلی است و همچنین brute-force credentialها، و به compromize یا advisory فعلی مرتبط نیست» و از سازمان‌ها خواست بهترین شیوه‌ها را دنبال کنند، از جمله چرخش منظم credentialهای امنیتی و فعال‌سازی MFA.
CISA توصیه‌های زیر را برای دفاع در برابر این فعالیت مطرح کرده است —
- همه sessionهای SSL VPN و مدیریتی فعال را terminate کنید، همه رمزهای VPN و مدیریتی Fortinet را reset کنید، به‌ویژه روی سیستم‌های رو به اینترنت، و سیاست‌های رمز عبور قوی را enforce کنید.
- از الگوریتم Password-Based Key Derivation Function 2 (PBKDF2) برای ذخیره credentialهای administrator استفاده کنید و hashهای legacy ضعیف‌تر را حذف کنید.
- logهای firewall، VPN، authentication و domain controller را برای نشانه‌های اقدامات مشکوک، از جمله تغییرات پیکربندی غیرمجاز، بررسی کنید.
- MFA مقاوم در برابر phishing را روی همه gatewayهای خارجی و رابط‌های مدیریتی فعال کنید.
- سطح حمله را کاهش دهید و مدیریت را lock down کنید.
حادثه FortiBleed هفته گذشته برای اولین بار زمانی مشخص شد که محقق امنیتی Volodymyr «Bob» Diachenko سروری حاوی پایگاه داده credentialهای ورود فعال برای هزاران firewall و دروازه VPN در 194 کشور کشف کرد. طبق SOCRadar، سرور ابزار مهاجم و اسکریپت‌های automation را نیز میزبانی می‌کرد.
یافته‌ها بار دیگر نشان می‌دهند credential reuse و بهداشت ضعیف رمز عبور چگونه می‌تواند توسط بازیگران مخرب weaponize شود، و اینکه applianceهای امنیت perimeter همچنان هدفی سودآور برای دسترسی اولیه به محیط‌های enterprise باقی مانده است.
