FBI cảnh báo các cuộc tấn công FortiBleed vẫn đang tiếp diễn
"The FBI and US Secret Service warned that ongoing FortiBleed-related attacks are using compromised credentials to lock organizations out of internet-facing Fortinet FortiGate firewalls and SSL VPN gateways. The advisory cites more than 86,644 compromised devices across 194 countries, with attackers creating new accounts, deleting existing ones, and using stolen credentials to enable ransomware intrusions; recommended mitigations include restricting management access, terminating sessions, resetting passwords, and enabling phishing-resistant MFA."
Tác động bảo mật cao do thiết bị biên mạng bị chiếm quyền, mất khả năng quản trị và có thể dẫn tới triển khai ransomware trong mạng nội bộ.
Có thể gây gián đoạn truy cập từ xa, ảnh hưởng kết nối Internet-facing và làm tăng chi phí xử lý sự cố, khôi phục tài khoản, điều tra và ứng phó.
FBI và US Secret Service đã phát hành khuyến cáo chung về các cuộc tấn công liên quan đến FortiBleed, trong đó kẻ tấn công dùng thông tin xác thực bị lộ để khóa tổ chức khỏi các thiết bị Fortinet FortiGate và SSL VPN gateway kết nối Internet. Theo khuyến cáo, SOCRadar đã xác minh hơn 86.644 thiết bị bị xâm phạm tại 194 quốc gia.
Cơ quan chức năng cho biết trong một số trường hợp, đối tượng tấn công tạo tài khoản mới, xóa tài khoản hiện có hoặc thay đổi mật khẩu để duy trì quyền truy cập và ngăn quản trị viên hợp pháp đăng nhập lại. Chuỗi tấn công thường bắt đầu bằng credential stuffing hoặc password spraying từ dữ liệu rò rỉ trước đó, sau đó kẻ tấn công trích xuất password hash từ thiết bị bị chiếm quyền và bẻ khóa ngoại tuyến.
Khuyến nghị kỹ thuật gồm hạn chế truy cập quản trị từ Internet, kết thúc phiên quản trị và VPN đang hoạt động, đặt lại mật khẩu, và bật MFA chống phishing. FBI và USSS cũng khuyến khích nạn nhân báo cáo sự cố để hỗ trợ nhận diện IOC; đồng thời cảnh báo không nên trả tiền chuộc.