ФБР США выступило с предупреждение о том, что атаки FortiBleed не остановились и нацелены на уязвимые межсетевые экраны Fortinet FortiGate и шлюзы SSL VPN, блокируя доступ легитимных администраторов. Хакеры получают доступ к уязвимым конечным точкам, используя ранее утекшие учетные данные или логины, полученные из журналов инфокрадов, а также с помощью брута. Затем извлекаются дополнительные креды со скомпрометированных устройств и задействуется распределенный кластер графических процессоров, работающий под управлением Hashcat и Hashtopolis, для взлома украденных хешей паролей в автономном режиме. По данным бюро, «цепочка атак FortiBleed рассматривается как начальная точка входа для аффилированных с ней программ-вымогателей». Среди причастных к кампании банд - INC/Lynx и Payload. Напомним, FortiBleed связана с масштабной утечкой учетных данных Fortinet, обнаруженной в июне, когда злоумышленники по ошибке раскрыли доступ к серверу, содержащему имена пользователей и пароли в открытом виде: всего 73 932 URL межсетевых экранов в 194 странах. Это позволило вскрыть масштабную операцию по сбору учетных данных, хотя на тот момент было неясно, какой метод использовался для получения данных конфигурации. Позже в июле SOCRadar связала FortiBleed с активностью банды вымогателей INC/Lynx и Payload, заполучив доступ к переговорным площадкам обеих групп на сервере, задействованном в кампании. По последним данным SOCRadar, FortiBleed затронула в общей сложности 86 644 устройства. В свою очередь, ФБР США сообщает, что в некоторых случаях злоумышленник создает учетные записи администраторов и использует их привилегии для удаления существующих учетных записей администраторов или изменения паролей, лишая жертв доступа к их устройствам. Затем злоумышленник обеспечивает себе постоянное присутствие в системе и пытается осуществить горизонтальное перемещение. Новые подробности операции стали известны после того, как злоумышленник случайно раскрыл доступ к их серверной части, обнаружив каталог с инструментами и наборами данных. Как выгнулось, применялись автоматизированные скрипты для сканирования открытых SSL VPN-порталов FortiGate, распределенная система взлома паролей на графических процессорах, а также скрипты для валидации учетных данных, фильтрации ловушек, идентификации организаций и определения приоритетности целей по доходам и структуре сети. Кроме того, в результате утечки были обнаружены рабочие конфигурации VPN и списки целей, что указывает на то, что оператор предлагал скомпрометированный доступ для продажи. ФБР отдельно обращает внимание на то, что для устранения проблемы может потребоваться нечто большее, чем просто обновление и сброс паролей Fortinet, предложив ограничить внешний доступ, завершить все активные VPN-сессии, ввести многофакторную аутентификацию и проанализировать журналы на предмет несанкционированных изменений и подозрительной активности. Бюро также рекомендуют использовать PBKDF2 для хранения паролей администратора, поскольку этот алгоритм намного надежнее устаревших хешей SHA-256, которые злоумышленники могут практически взломать в автономном режиме.