FortiBleed lộ dấu hiệu chuyển giao thông tin đăng nhập giữa hai nhóm ransomware
"Researchers linked the FortiBleed credential-theft campaign to the INC Ransom and Lynx ransomware groups after finding logs showing one operator logged into both groups’ affiliate panels. The campaign, disclosed on June 17, involved intercepting FortiGate SSL VPN authentication hashes, cracking them, and using the credentials to access Active Directory environments; no new CVE was involved, but the impact included admin-level compromise and at least 12 confirmed ransomware follow-on attacks."
Tác động đáng kể vì chuỗi tấn công không chỉ dừng ở đánh cắp thông tin đăng nhập FortiGate, mà còn có dấu hiệu chuyển giao sang triển khai ransomware. Các điểm then chốt gồm: chiếm quyền admin trên một phần mục tiêu và ít nhất 12 vụ ransomware được liên hệ trực tiếp.
Rủi ro vận hành cao do khả năng ảnh hưởng tới nhiều tổ chức và dẫn tới gián đoạn do mã hóa dữ liệu. Điểm cần lưu ý: tấn công có thể leo thang đến domain admin, và mức độ lan rộng khiến chi phí điều tra/phục hồi tăng, dù số liệu cuối cùng phụ thuộc vào phạm vi quan sát.
Các nhà nghiên cứu cho biết chiến dịch FortiBleed (được công bố ngày 17/6) có liên quan đến hệ sinh thái của ít nhất hai nhóm ransomware khác nhau, sau khi phát hiện bằng chứng một cá nhân/nhóm vận hành có dấu hiệu đăng nhập vào hai bảng affiliate của INC Ransom và Lynx. Theo SOC Radar’s Threat Research Unit (STRU), ít nhất một thành viên trong nhóm môi giới truy cập (IAB) đồng thời tham gia đàm phán với nạn nhân, cho thấy mối liên kết trực tiếp giữa các nạn nhân FortiBleed và hoạt động triển khai ransomware.
Điểm đáng chú ý là STRU cho biết họ thu thập được thông tin từ log nội bộ do lỗi vận hành (opsec fail) trên hạ tầng bị theo dõi. Kết quả cho thấy thông tin đăng nhập bị đánh cắp từ FortiGate SSL VPN được dùng để truy cập Active Directory, sau đó dẫn tới chiếm quyền ở mức quản trị. Dù không có CVE mới được nêu, STRU liên hệ được ít nhất 12 vụ tấn công ransomware theo sau từ các nạn nhân FortiBleed.
Khuyến nghị: rà soát việc lộ/đánh cắp thông tin đăng nhập VPN, kiểm tra dấu hiệu truy cập bất thường vào AD/domain controllers, và ưu tiên triển khai các biện pháp giảm thiểu brute-force/credential reuse, đồng thời tăng giám sát trên các cổng FortiGate.