O FBI e o Serviço Secreto dos Estados Unidos emitiram alerta sobre o FortiBleed, campanha de coleta de credenciais que mira firewalls FortiGate e gateways de VPN SSL expostos à internet. Segundo as agências, a operação continua ativa.
O número acumulado é alto. Até 19 de junho, os operadores já haviam reunido 86.644 credenciais funcionais de equipamentos espalhados por 194 países, o que mostra uma varredura sem alvo definido e de alcance global.
A entrada se apoia em credenciais reutilizadas ou já vazadas e no armazenamento antigo de senhas em SHA-256, que facilita a quebra fora do ambiente da vítima.
O ataque combina três técnicas. Há a tentativa automatizada de credenciais conhecidas, uma ferramenta escrita em Go chamada FortigateSniffer, que intercepta autenticação em 24 protocolos diferentes, e a quebra de senha acelerada por placa de vídeo.
O passo mais danoso vem depois do acesso. Os invasores criam contas administrativas não autorizadas no equipamento e, em parte dos casos, apagam as contas originais.
Com isso o administrador legítimo perde o acesso ao próprio firewall enquanto o invasor mantém o controle. A limpeza deixa de ser uma troca de senha e passa a exigir a recuperação do equipamento.
A campanha foi documentada pela primeira vez em junho, e o alerta das agências saiu em 7 de outubro, quatro meses depois. As autoridades afirmam que os operadores seguem varrendo a internet em busca de firewalls da Fortinet expostos.
