FortiBleed: o roubo massivo de credenciais que inicia a cadeia do ransomware

A recente exposição da operação conhecida como FortiBleed confirma algo que as equipes de resposta e a inteligência em cibersegurança temiam: a massa de credenciais roubadas a dispositivos FortiGate não era um fim em si mesmo, mas a primeira etapa de uma cadeia de monetização que termina em ransomware. De acordo com a análise publicada pela assinatura de inteligência, um operador conectado à infraestrutura de FortiBleed estava diretamente envolvido nos painéis de negociação dos grupos de extorsão INC e Lynx, o que liga o roubo massivo de acessos administrativos com desdobramentos posteriores de cifradores.

O modo de operação descrito combina técnicas clássicas e passos perniciosos pouco visíveis: digitalização massiva da internet para detectar FortiGate expostos, tentativas com combinações de credenciais conhecidas, e instalação de um sniffer escrito em Go que recolhe credenciais e tokens em trânsito. O alcance informado é alarmante: relata-se que o ator apontou cerca de 430.000 firewalls, instalou o sniffer em aproximadamente 12.000 dispositivos e coletou mais de 110 milhões de credenciais, com acesso administrativo verificado em centenas de equipamentos e pelo menos 12 implantaçãos de ransomware confirmados.

Para além dos números, há dois elementos que agravam a ameaça e que tudo responsável pela segurança deve considerar. Primeiro, a operação parece organizada e profissional: documentação interna sugere uma estrutura de cerca de 20 pessoas com papéis separados (operadores, especialistas e suporte), o que facilita operações sustentadas e escalável. Segundo, a combinação de corretoras de acesso inicial que vendem ou facilitam o acesso a bandas de ransomware reduz a fricção para ataques destrutivos; o que antes poderia ser um roubo “meramente” de informação se transforma em interrupção operacional e extorsão.

A campanha também deixou traçado por um erro de segurança operacional do próprio ator: um servidor com credenciais roubadas ficou exposto na internet, o que permitiu a pesquisadores analisar arquivos, registros e ferramentas. Essa filtragem é uma oportunidade para defensores: os artefatos encontrados podem conter indicadores de comprometimento (IoC) e padrões de comportamento que facilitem buscas internas, bloqueios e remediação proativa.

Paralelamente, foram relatadas explorações ativas de vulnerabilidade em FortiClient EMS (informada por eSentire em relação a um caso no setor energia/utilities), com implantação de um roubador de credenciais conhecido como EKZ Stealer, que extrai senhas de navegadores e exfiltra por PowerShell. Essa outra via ilustra uma realidade clara: os atacantes usam rotas múltiplas (exploits, sniffers, combinações de credenciais) para alcançar o mesmo objetivo final: credenciais privilegiadas.

As implicações práticas para organizações medianas e grandes são imediatas. No curto prazo, é imprescindível verificar a integridade e a configuração de qualquer dispositivo FortiGate ou FortiClient em seu perímetro: atualizar firmware e adesivos do fabricante, rotar credenciais administrativas, forçar a aplicação de MFA para acessos administrativos remotos e auditar acessos recentes em painéis de gestão. Também é crítico procurar evidências de sniffers ou binários incomuns na rota de rede entre clientes e servidores, e revisar logs para conexões salientes atípicas que possam indicar exfiltração de credenciais.

Em termos operacionais, os equipamentos de segurança devem tratar as credenciais como potencialmente comprometidas: renovar pares de chaves e certificados quando necessário, segmentar a gestão de dispositivos em redes separadas com controles de acesso estritos, e centralizar o registro de eventos (SIEM) para correlacionar tentativas de acesso, elevações de privilégios e movimento lateral. Se a sua organização figura entre os setores apontados como preferenciais pelos atacantes —manufactura, tecnologia e logística na LATAM e APAC — convém priorizar essas ações.

Além das medidas técnicas, há duas etapas organizacionais que costumam marcar a diferença: coordenar-se com o fornecedor afetado para compartilhar achados e solicitar adesivos ou mitigações oficiais, e comunicar o incidente às autoridades e plataformas de intercâmbio de informações para cortar canais de monetização. Pesquisas como a de SOCRadar e os avisos de eSentire oferecem contexto e, por vezes, IoC úteis; compará-los com seus registros internos e actue rapidamente sobre coincidências.

Para aprofundar e seguir recomendações oficiais, consulte tanto a informação pública da assinatura que reportou a campanha como os comunicados do fornecedor em causa. Mais informações no site do SOCRadar SOCRadar e no portal de eSentire eSentire, e contacte o fabricante para guias e adesivos através do centro de segurança de Fortinet Fortinet.

Em suma, FortiBleed é um lembrete de que as infra-estruturas de rede expostas e as credenciais reutilizadas são uma mina de ouro para a economia do cibercrime. A boa notícia é que muitas das defesas eficazes são conhecidas e acáveis: adesivo rápido, rotação de credenciais, MFA, segmentação, monitorização contínua e coordenação com fornecedores e comunidades de inteligência. Atuar sobre essas práticas hoje reduz significativamente o risco de ser a próxima vítima de uma cadeia que começa com o roubo de um admin password e termina com operações de ransomware organizadas.