سرقت اطلاعات اعتباری FortiBleed مرتبط با عملیات باج‌افزاری INC و Lynx

کمپین سایبری «FortiBleed» که اخیراً کشف شده و با انگیزه‌های مالی انجام می‌شود، به عملیات باج‌افزاری (ransomware) INC و Lynx نسبت داده شده است. شرکت اطلاعات تهدید SOCRadar در گزارش جدید خود اعلام کرد که یک اپراتور مرتبط با زیرساخت FortiBleed به‌طور همزمان در پنل‌های مذاکره هر دو گروه فعال بوده و این موضوع برای نخستین بار سرقت گسترده اعتبارنامه‌های (credentials) FortiGate را مستقیماً به استقرار باج‌افزار پیوند می‌دهد. این شرکت فعالیت اسکن علیه حدود ۱۱,۲۵۰ درگاه FortiGate در بیش از ۱۵۰ کشور را رصد کرده، دسترسی در سطح مدیر (admin-level) به ۴۰۹ هدف تأیید شده و زنجیره کامل حمله بر روی ۳۵۴ مورد از آن‌ها با موفقیت اجرا شده است. در مجموع، حداقل ۱۲ استقرار باج‌افزار از این دسترسی‌ها منجر به رمزگذاری (encryption) صدها نقطه پایانی (endpoint) در سازمان‌های آسیب‌دیده شده است.

بر اساس یافته‌های SOCRadar، این عملیات که حدود ۴۳۰,۰۰۰ فایروال FortiGate را در سطح جهانی هدف قرار داده، بیش از ۱۱۰ میلیون اعتبارنامه را جمع‌آوری کرده است. شواهد نشان می‌دهد این فعالیت کار یک عامل تهدید روسی‌زبان است که احتمالاً به‌عنوان کارگزار دسترسی اولیه (initial access broker) عمل می‌کند و یک عملیات سازمان‌یافته متشکل از حدود ۲۰ نفر با تقسیم کار مشخص را اداره می‌کند. بخش‌های تولید، فناوری و لجستیک در مناطق آمریکای لاتین و آسیا-اقیانوسیه بیشترین هدف‌گیری را داشته‌اند. همچنین SOCRadar هشدار داد که مهاجمان احتمالاً دارای حداقل یک آسیب‌پذیری روز-صفر (zero-day) در Nextcloud هستند و آثاری مرتبط با Citrix نیز کشف شده که نشان می‌دهد دامنه هدف‌گیری فراتر از دستگاه‌های Fortinet است.