A campanha cibernética em grande escala conhecida como FortiBleed está a visar ativamente mais de 430 mil dispositivos FortiGate da Fortinet em todo o mundo. De acordo com um relatório recente publicado pela empresa de segurança SOCRadar, esta operação recorre a ferramentas personalizadas para intercetar e roubar credenciais de autenticação diretamente a partir de firewalls comprometidos, afetando redes corporativas globais desde, pelo menos, fevereiro de 2026.
Os investigadores revelaram que os atacantes atuam como intermediários de acesso inicial. Para entrar nos sistemas, utilizam técnicas como ataques de força bruta, preenchimento de credenciais e quebra de palavras-passe offline. Uma vez obtido o acesso administrativo através de ligações SSH, é instalada uma ferramenta desenvolvida em Golang apelidada de FortigateSniffer. Este utilitário corrompe a funcionalidade legítima de diagnóstico de pacotes do sistema operativo FortiOS para monitorizar e capturar o tráfego de dados em tempo real. A ferramenta consegue analisar fluxos de informação associados a 24 protocolos distintos, incluindo RADIUS, NTLM, Kerberos e LDAP, extraindo segredos de autenticação diretamente dos fluxos de rede.
Processamento de dados e quebra de hashes
Após a recolha de pacotes nos equipamentos afetados, os dados são processados por um componente designado por SNIFTRAN, que reconstitui o tráfego capturado em ficheiros PCAP. Posteriormente, um conjunto de ferramentas de análise profunda baseado em Python extrai as credenciais em texto limpo e os hashes de palavras-passe. Para decifrar estes hashes, os atacantes recorrem ao utilitário Hashcat executado num cluster distribuído de processamento gráfico. Segundo o especialista em cibersegurança Kevin Beaumont, o atacante alugou 36 unidades de processamento gráfico (GPU) de classe empresarial pertencentes a uma empresa de inteligência artificial generativa, conseguindo quebrar as chaves de segurança com extrema rapidez.
Resposta da fabricante e recomendações
Apesar de a fabricante ter indicado anteriormente que o incidente reflete uma compilação de credenciais previamente expostas e não uma vulnerabilidade inédita, a investigação detalhada aponta para uma campanha ativa e contínua de comprometimento de dispositivos VPN. Kevin Beaumont acrescentou que os atacantes também obtiveram dados ao descarregar ficheiros de configuração diretamente dos sistemas invadidos. Para auxiliar na proteção das infraestruturas, foi disponibilizada uma lista com os endereços IP visados nesta operação. Recomenda-se que os administradores de sistemas analisem estes dados para verificar se algum dos seus equipamentos foi alvo desta vaga de ataques.
Nenhum comentário
Seja o primeiro!