FortiBleed expõe credenciais em trânsito e converte FortiGate em porta de entrada para intrusos

SOCRadar publicou um relatório que amplia a investigação sobre a campanha em massa conhecida como "FortiBleed", e sua descoberta mais preocupante é que os atacantes não se limitaram a coletar credenciais antigas: lançaram sniffers personalizados em dispositivos FortiGate para capturar segredos de autenticação em trânsito e produzir credenciais exploáveis em grande escala. De acordo com o relatório, a operação teria afetado centenas de milhares de dispositivos FortiGate desde pelo menos fevereiro de 2026, tornando este incidente um exemplo de como uma falha na gestão de acessos e na exposição de consoles administrativos pode se tornar uma pata de acesso inicial para atores especializados.

A técnica central descrita no relatório é a utilização de uma ferramenta em Go, batizada como FortigateSniffer, que se conecta por SSH aos firewalls comprometidos e executa o comando legítimo de diagnóstico de FortiOS "diagnose sniffer packet". Esse abuso de uma função administrativa permite aos atacantes inspeccionar tráfego em tempo real para buscar credenciais e materiais de autenticação de protocolos como RADIUS, NTLM, Kerberos, LDAP, SMTP, IMAP, bases de dados, RDP e muitos outros.

SOCRadar documenta também uma cadeia de processamento completa: os pacotes capturados são reconstituídos com um componente chamado SNIFTRAN e analisados com um kit de ferramentas em Python que extrai credenciais em texto claro, hashes e tickets Kerberos. Esses artefatos depois se preparam para ataques por força bruta offline e cracking massivo com Hashcat em GPUs empresariais alugados. A hipótese de que os atacantes até baixaram arquivos de configuração e extraíram hashes é apoiada pela análise de pesquisadores independentes; você pode ler um resumo técnico desta atualização no blog de Kevin Beaumont ( Kevin Beaumont) e no relatório do SOCRadar ( Dismantling FortiBleed — SOCRadar).

O perfil do adversário descrito encaixa com o de um initial access correto (IAB): atores que obtêm acesso e vendem-no em mercados ilícitos, ou que o utilizam para posteriores invasões e extorsões. A combinação de técnicas automatizadas de credential stuffing, força bruta, exfiltração de configurações e cracking acelerado mediante GPUs permite transformar acessos temporários em credenciais reutilizáveis e, portanto, em portas de entrada persistentes a redes corporativas.

A complexidade do ataque destaca um princípio básico: um firewall comprometido deixa de ser apenas uma barreira e se torna observatório privilegiado. Um FortiGate com acesso administrativo pode ver e registrar tráfego sensível; se esse dispositivo for controlado, o atacante obtém visibilidade sobre credenciais que muitas organizações continuam enviando em texto claro ou com protocolos vulneráveis. Isso converte em infra-estruturas de identidade —Active Directory, servidores RADIUS, bases de dados, correio — em objetivos imediatos para movimento lateral e escalada de privilégios.

Para equipes de segurança e administradores de FortiGate, a primeira prioridade é investigar se o inventário figura entre os objetivos conhecidos. Kevin Beaumont publicou uma lista de endereços IP relacionados com a campanha que pode servir como ponto de partida para a pesquisa ( Lista de IPs assinaladas). Além disso, a evidência de execução de "diagnose sniffer packet" e de ligações SSH não autorizadas deve ser considerada um indicador de compromisso que amerita resposta imediata.

Quanto a mitigações práticas, as organizações devem agir em duas frentes: contenção imediata e endurecimento estrutural. Em contenção, há que revisar contas administrativas do firewall, rotar credenciais e chaves, desativar acessos administrativos da Internet quando não forem imprescindíveis, revisar arquivos de configuração recentes, restaurar desde backups confiáveis se houver evidência de manipulação e ativar multi-fator para acessos de administração. Em endurecimento, convém limitar a exposição de serviços de gestão a redes internas ou a bastiones seguros, cifrar as comunicações de autenticação (LDAPs, TLS para serviços), aplicar segmentação para que um dispositivo comprometido não conceda acesso directo a domenios de identidade, e monitorar comandos administrativos e capturas de pacotes nos firewalls.

Outro aspecto relevante que revela a campanha é o uso de computação GPU rendada pelos atacantes para decifrar hashes em escala: contratar 36 GPUs empresariais permite crackear senhas com muito maior rapidez do que a maioria de equipamentos de segurança interna. Isso obriga a assumir que qualquer hash obtido poderia ser quebrado em prazos curtos, pelo que a rotação de credenciais e o restabelecimento de segredos após um possível compromisso devem ser realizados sem dilação. Para entender a tecnologia usada para cracking e seus limites técnicos, fontes públicas como o projeto Hashcat oferecem contexto sobre capacidades de cracking ( Hashcat).

Finalmente, este incidente deve servir para reforçar uma mudança de paradigma: não basta proteger perimetralmente; há que projetar defesas onde as identidades e as chaves de acesso não viajam claramente nem possam ser coletadas de um único ponto de controle. Implementar políticas de acesso com menor confiança implícita, aplicar MFA universalmente, auditar e alertar sobre mudanças em configurações de segurança, e praticar exercícios de resposta a incidentes com cenários de comprometimento de infraestrutura de rede são passos que reduzem a recompensa para atores que buscam explorar dispositivos de rede como vetores.

Se você administra FortiGate ou gerencia identidade em sua organização, verifique o relatório técnico do SOCRadar, a atualização de pesquisadores independentes e a lista de IPs publicadas, e considera ativar uma resposta forense e informar as partes afetadas: a janela para impedir que credenciais capturadas se tornem acessos persistentes é limitada e a ação proativa pode evitar intrusões mais graves.