FortiBleed: a campanha que rouba credenciais a FortiGate e expõe a nova economia do acesso

Um operador de acesso inicial de língua russa, motivado pelo benefício económico, está por trás de uma campanha massiva de recolha de credenciais que investigadores nomearam como FortiBleed, e que teria afetado centenas de milhares de dispositivos FortiGate e um vasto conjunto de serviços expostos. De acordo com relatos públicos, a operação combina digitalização em larga escala, força bruta, implantação de um sniffer personalizado baseado em Golang - aproveitando a capacidade legítima de FortiOS executar comandos de diagnóstico - e uma cadeia automatizada para crackear e voltar a usar credenciais em Active Directory e outros serviços.

O alcance técnico e operacional descrito pelas assinaturas que analisaram a campanha revela vários sinais que devem acender luzes de alarme. Primeiro, a reutilização da utilidade nativa diagnose sniffer packet Para interceptar o tráfego torna mais difícil a detecção porque o ator não introduz código kernel ou backdoors ruídos: emprega funcionalidades existentes para captar credenciais em texto claro e hashes à medida que atravessam o appliance. Segundo, a arquitetura da operação —pipelines automatizados, gestão de cracking com ferramentas colaborativas e um bot que orquestra o trabalho — permite escalar exploração e monetização com rapidez, o que explica números de dezenas de milhões de tokens e hashes identificados.

Esta campanha não é apenas um ataque a dispositivos pontuais; mostra como as táticas dos initial access corretos (IAB) foram sofisticadas para explorar a economia de acesso: priorização de objetivos segundo valor econômico, foco em fornecedores de serviços e PME, e abandono de objetivos que não cumpram critérios de “rentabilidade”. Comprometer um firewall de um fornecedor de serviços ou um MSP pode criar rotas para múltiplas redes cliente, amplificando o impacto e o risco de movimentos laterais e exfiltração.

Outra dimensão crítica é a normalização e a comercialização de ferramentas ofensivas: a suposta integração de plataformas open source com capacidades AI-native sugere que mesmo atores com recursos limitados podem orquestrar campanhas complexas combinando digitalização, scraping e cracking. A disponibilidade pública de scanners e ferramentas como Masscan ou serviços como Shodan facilita a fase de reconhecimento em massa; a barreira técnica para operar em escala já não é exclusiva de grupos apoiados por estados.

Para defensores e administradores, a leitura é clara: a superfície de ataque inclui não apenas vulnerabilidades exploráveis, mas configurações e práticas operacionais. Expor painéis administrativos, consoles SSH ou SSL-VPNs à Internet sem controles robustos e sem autenticação multifator é jogar com vantagem para os atacantes. Além disso, a presença de mecanismos de geofencing e horários operacionais na campanha indica uma intenção de evitar detecção local e reduzir o ruído, pelo que as janelas de atividade podem ser deliberadamente discretas e coincidir com horas de trabalho locais.

Em termos práticos, a resposta deve ser dupla: mitigar exposição e melhorar a detecção. Mitigar passa por rever imediatamente a exposição pública de interfaces administrativas e VPNs, restringir acesso por IP, implantar VPNs de salto ou bastion hosts para administração, e forçar autenticação multifator em todos os acessos privilegiados. Em dispositivos FortiGate, convém validar versões suportadas e adesivos publicados pelo fabricante, rever logs administrativos em busca de uso incomum de comandos de diagnóstico e avaliar a possibilidade de desativar ou limitar o acesso ao diagnóstico a partir de interfaces públicas. Fortinet publica avisos e guias de segurança no seu portal oficial que devem ser consultados como referência para adesivos e atenuações: Fortinet Security Advisories.

A detecção requer instrumentação: correlacionar tentativas maciças de autenticação com origem geográfica, identificar rajadas de validações simultâneas (miles de fios/segundo), monitorar cracks de hashes em infraestrutura conhecida e alertar sobre padrões atípicos em tráfego de autenticação. Uma abordagem baseada em técnicas e táticas comuns (por exemplo, as documentadas no âmbito MITRE ATT&CK) ajuda a estruturar detecção e resposta: acompanhamento de credenciais roubadas, movimento lateral e exfiltração. Mais informações sobre as famílias de técnicas estão disponíveis em MITRE ATT&CK.

Se suspeitar que sua organização foi afetada, actue sob a premissa de compromisso: realize um inventário de acessos administrativos expostos, mude e rote credenciais privilegiadas e contas de serviço, revoque sessões e tokens web, e analise a configuração SSH, as chaves autorizadas e os cronjobs. A presença de usuários ou pares de credenciais repetidos em múltiplos IPs pode indicar contas planejadas pelo atacante, pelo que qualquer conta desconhecida ou inexplicável replicada deve ser investigada e desativada. Em casos de comprometimento demonstrado, a limpeza completa da equipe e a restauração de imagens confiáveis geralmente é a opção mais segura.

Finalmente, a lição estratégica é que as defesas perimetrales tradicionais já não bastam: a combinação de Zero Trust, segmentação de rede, mínimo privilégio e monitoramento contínuo é imprescindível para conter esse tipo de operações. Investir em detecção precoce, em práticas sólidas de gestão de identidades e na proteção de fornecedores e cadeias de abastecimento é agora tão importante como adesivos vulnerabilidades individuais.

Para aprofundar e manter a defesa atualizada recomendamos consultar fontes técnicas e avisos do fabricante regularmente, integrar informações de ameaças e validar controles com exercícios de segurança. As ferramentas e táticas que habilitam campanhas como FortiBleed estão à disposição pública; a diferença marca a preparação e a capacidade de detectar e neutralizar tentativas antes de se tornarem acessos persistentes.