FortiBleed: el robo masivo de credenciales que inicia la cadena del ransomware

La reciente exposición de la operación conocida como FortiBleed confirma algo que los equipos de respuesta y la inteligencia en ciberseguridad temían: la masa de credenciales robadas a dispositivos FortiGate no era un fin en sí mismo sino la primera etapa de una cadena de monetización que termina en ransomware. Según el análisis publicado por la firma de inteligencia, un operador conectado a la infraestructura de FortiBleed estaba directamente involucrado en los paneles de negociación de los grupos de extorsión INC y Lynx, lo que vincula el robo masivo de accesos administrativos con despliegues posteriores de cifradores.

El modo de operación descrito combina técnicas clásicas y pasos perniciosos poco visibles: escaneo masivo de internet para detectar FortiGate expuestos, intentos con combinaciones de credenciales conocidas, y la instalación de un sniffer escrito en Go que recoge credenciales y tokens en tránsito. El alcance informado es alarmante: se reporta que el actor apuntó a unos 430.000 firewalls, instaló el sniffer en aproximadamente 12.000 dispositivos y colectó más de 110 millones de credenciales, con acceso administrativo verificado en centenares de equipos y al menos 12 despliegues de ransomware confirmados.

Más allá de los números, hay dos elementos que agravan la amenaza y que todo responsable de seguridad debe considerar. Primero, la operación parece organizada y profesional: documentación interna sugiere una estructura de cerca de 20 personas con roles separados (operadores, especialistas y soporte), lo que facilita operaciones sostenidas y escalables. Segundo, la combinación de brokers de acceso inicial que venden o facilitan el acceso a bandas de ransomware reduce la fricción para ataques destructivos; lo que antes podía ser un robo “meramente” de información se transforma en interrupción operacional y extorsión.

La campaña también dejó traza por un error de seguridad operacional del propio actor: un servidor con credenciales robadas quedó expuesto en internet, lo que permitió a investigadores analizar archivos, registros y herramientas. Esa filtración es una oportunidad para defensores: los artefactos encontrados pueden contener indicadores de compromiso (IoC) y patrones de comportamiento que faciliten búsquedas internas, bloqueos y remediación proactiva.

Paralelamente, se han reportado explotaciones activas de una vulnerabilidad en FortiClient EMS (informada por eSentire respecto a un caso en el sector energía/utilities), con despliegue de un robador de credenciales conocido como EKZ Stealer, que extrae contraseñas desde navegadores y las exfiltra mediante PowerShell. Esa otra vía ilustra una realidad clara: los atacantes usan rutas múltiples (exploits, sniffers, combinaciones de credenciales) para alcanzar el mismo objetivo final: credenciales privilegiadas.

Las implicaciones prácticas para organizaciones medianas y grandes son inmediatas. En el corto plazo, es imprescindible verificar la integridad y la configuración de cualquier dispositivo FortiGate o FortiClient en su perímetro: actualizar firmware y parches del fabricante, rotar credenciales administrativas, forzar la aplicación de MFA para accesos administrativos remotos y auditar accesos recientes en paneles de gestión. También es crítico buscar evidencia de sniffers o binarios inusuales en la ruta de red entre clientes y servidores, y revisar logs para conexiones salientes atípicas que pudieran indicar exfiltración de credenciales.

En términos operativos, los equipos de seguridad deben tratar las credenciales como potencialmente comprometidas: renovar pares de claves y certificados cuando sea necesario, segmentar la gestión de dispositivos en redes separadas con controles de acceso estrictos, y centralizar el registro de eventos (SIEM) para correlacionar intentos de acceso, elevaciones de privilegios y movimiento lateral. Si su organización figura entre los sectores señalados como preferentes por los atacantes —manufactura, tecnología y logística en LATAM y APAC— conviene priorizar estas acciones.

Además de las medidas técnicas, hay dos pasos organizativos que suelen marcar la diferencia: coordinarse con el proveedor afectado para compartir hallazgos y solicitar parches o mitigaciones oficiales, y comunicar el incidente a las autoridades y plataformas de intercambio de inteligencia para cortar canales de monetización. Investigaciones como la de SOCRadar y los avisos de eSentire ofrecen contexto y, en ocasiones, IoC útiles; compárelos con sus registros internos y actúe rápidamente sobre coincidencias.

Para profundizar y seguir recomendaciones oficiales, consulte tanto la información pública de la firma que reportó la campaña como los comunicados del proveedor afectado. Más información en el sitio de SOCRadar SOCRadar y en el portal de eSentire eSentire, y contacte al fabricante para guías y parches a través del centro de seguridad de Fortinet Fortinet.

En resumen, FortiBleed es un recordatorio de que las infraestructuras de red expuestas y las credenciales reutilizadas son una mina de oro para la economía del ciberdelito. La buena noticia es que muchas de las defensas efectivas son conocidas y adoptables: parcheo rápido, rotación de credenciales, MFA, segmentación, monitorización continua y coordinación con proveedores y comunidades de inteligencia. Actuar sobre esas prácticas hoy reduce significativamente el riesgo de ser la próxima víctima de una cadena que empieza con el robo de un admin password y termina con operaciones de ransomware organizadas.