عملیات FortiBleed برای سرقت ۱۱۰ میلیون اعتبارنامه از فایروال‌های FortiGate

یک کارگزار دسترسی اولیه (Initial Access Broker) روسی‌زبان با انگیزه مالی، پشت یک عملیات گسترده سرقت اعتبارنامه (credential-harvesting) موسوم به «FortiBleed» شناسایی شده که بیش از ۴۳۰,۰۰۰ فایروال FortiGate را در سراسر جهان هدف قرار داده است. این کمپین که از فوریه ۲۰۲۶ فعال است، با استفاده از ابزاری مبتنی بر زبان برنامه‌نویسی Go به نام FortigateSniffer، ترافیک احراز هویت را از طریق ۲۴ پروتکل شبکه‌ای از جمله LDAP، Kerberos، SMB، RDP و RADIUS رهگیری می‌کند. بر اساس گزارش شرکت SOCRadar، مهاجمان پس از نفوذ به دستگاه‌ها، اعتبارنامه‌های متنی و هش‌شده را استخراج، کرک و در برابر دامنه‌های Active Directory و سرویس‌های دیگر بازاستفاده می‌کنند. تخمین زده می‌شود بین ۳۱ مه و ۱۵ ژوئن ۲۰۲۶، بیش از ۶۵۹ خط لوله سرقت اعتبارنامه راه‌اندازی شده که منجر به شناسایی بیش از ۱۱۰ میلیون اعتبارنامه شده است.

این عملیات که به گفته محققان هیچ آسیب‌پذیری روز-صفر (zero-day) جدیدی را بهره‌برداری نمی‌کند، فراتر از فایروال‌های Fortinet بوده و دستگاه‌های Synology NAS، فایروال‌های Sophos، پورتال‌های RDWeb، VPN‌های SSL سیسکو Citrix و سرورهای MS-SQL را نیز هدف قرار داده است. شرکت‌های کوچک و متوسط (SMB) با کمتر از ۲۰۰ کارمند، به‌ویژه در ایالات متحده و هند، در کانون توجه این کمپین قرار دارند. جالب توجه است که مکانیزم شنود شبکه‌ای این بدافزار دارای فیلتر جغرافیایی (geofencing) است و فعالیت آن به بازه زمانی ۷ صبح تا ۶ بعدازظهر به وقت مسکو محدود شده است. سازمان‌های آسیب‌دیده توصیه شده‌اند اعتبارنامه‌ها را تغییر دهند، نشست‌های فعال را باطل کنند و احراز هویت چندعاملی (MFA) را فعال‌سازی نمایند.