Se cree que la campaña FortiBleed con motivación financiera recientemente descubierta es el resultado de una operación de ransomware INC y Lynx, lo que indica que las credenciales verificadas y robadas estaban destinadas a intrusiones posteriores.
«Descubrimos que los operadores involucrados en la infraestructura de FortiBleed estaban participando activamente en los paneles de negociación de ambos grupos, vinculando directamente el robo masivo de credenciales de FortiGate con una implementación de ransomware por primera vez», dijo SOCRadar en un nuevo informe publicado el miércoles.
La compañía dijo que rastreó la actividad de escaneo en aproximadamente 11,250 portales FortiGate en más de 150 países y posteriormente observó acceso a nivel de administrador en 409 objetivos, de los cuales la cadena de ataque completa se completó con éxito en 354 objetivos. En total, este acceso dio lugar a al menos 12 implementaciones de ransomware y cifró cientos de puntos finales en las organizaciones afectadas.
La operación de recolección de credenciales a gran escala descubierta el mes pasado involucró a actores de amenazas escaneando sistemáticamente dispositivos Fortinet expuestos en Internet, intentando comprometer el uso de combinaciones de credenciales conocidas e implementando rastreadores de paquetes personalizados para recopilar pasivamente credenciales y otros datos de autenticación del tráfico de la red.
Se estima que la campaña se dirigió a 430.000 firewalls FortiGate en todo el mundo y recopiló más de 110 millones de credenciales en el proceso. Esta actividad quedó expuesta después de que un error operativo de seguridad por parte de los atacantes expusiera a Internet un servidor que contenía credenciales robadas de miles de dispositivos Fortinet.
Se estima que el rastreador Golang está instalado en aproximadamente 12.000 dispositivos Fortinet, lo que representa una fracción del número total de equipos de red objetivo.
Los últimos hallazgos de SOCRadar muestran que los operadores con acceso a la infraestructura de FortiBleed iniciaron sesión en los paneles de negociación de INC Ransom y Lynx, y las víctimas enumeradas por INC Ransom se superpusieron con los datos de la campaña. El enlace se basa en uno de los 200 servidores recientemente descubiertos asociados con la infraestructura FortiBleed que permite la visibilidad de archivos internos, registros y documentación operativa.
Las herramientas, los registros y las horas de esfuerzo indican que esta actividad probablemente sea obra de un actor de habla rusa que actúa como intermediario de acceso inicial. Muchos de los objetivos se centran en los sectores de fabricación, tecnología y logística en América Latina y Asia Pacífico.
SOCRadar también dijo que había encontrado documentos internos que mostraban que se trataba de una operación organizada de unas 20 personas con una clara división del trabajo. «La mayoría de las intrusiones de alto impacto son impulsadas por un pequeño número de operadores clave con la asistencia de expertos y personal de apoyo», añadió.
Además, se cree que los atacantes tienen al menos una vulnerabilidad de día cero en Nextcloud. La firma de inteligencia de amenazas dijo que está coordinando activamente con los proveedores afectados.
Esta divulgación confirma que los atacantes explotaron una falla en Fortinet FortiClient EMS (CVE-2026-35616, puntuación CVSS: 9.1) para implementar un ladrón de información llamado EKZ Stealer contra clientes en los sectores de energía, servicios públicos y residuos, con el objetivo final de recolectar credenciales de navegadores basados en Chromium y Firefox y robarlas a través de PowerShell, dijo eSentire. El anuncio se hizo después del anuncio.
Source link
