کمپین FortiBleed از اسنیفر سفارشی FortiGate برای سرقت اعتبارنامه‌ها استفاده کرد

شرکت امنیت سایبری SOCRadar در گزارشی جدید فاش کرد که کمپین گسترده «FortiBleed» بیش از ۴۳۰,۰۰۰ دستگاه فایروال FortiGate شرکت Fortinet را در سراسر جهان هدف قرار داده و حداقل از فوریه ۲۰۲۶ فعال بوده است. بر اساس این گزارش، عاملان تهدید از ابزاری مبتنی بر زبان برنامه‌نویسی Golang با نام «FortigateSniffer» استفاده کرده‌اند که با سوءاستفاده از قابلیت تشخیصی داخلی سیستم‌عامل FortiOS (یعنی دستور diagnose sniffer packet)، ترافیک احراز هویت (authentication traffic) را شنود کرده و اطلاعات اعتباری (credentials) را از پروتکل‌هایی نظیر RADIUS، NTLM، Kerberos و LDAP سرقت می‌کنند. این مهاجمان پس از دسترسی اولیه از طریق حملات brute-force و credential stuffing، به عنوان کارگزار دسترسی اولیه (Initial Access Broker) عمل می‌کنند.

داده‌های شنود شده از طریق مؤلفه‌ای به نام «SNIFTRAN» به فایل‌های PCAP تبدیل شده و سپس با ابزار تحلیل پایتون‌محور، اطلاعات اعتباری متنی و هش‌های رمز عبور استخراج می‌شوند. کارشناس امنیت سایبری کوین بومونت (Kevin Beaumont) نیز اعلام کرد مهاجمان برای شکستن رمزهای عبور هش‌شده از ۳۶ پردازنده گرافیکی (GPU) سازمانی اجاره‌ای از یک شرکت هوش مصنوعی مولد (GenAI) استفاده کرده‌اند. با وجود اینکه Fortinet این رویداد را مجموعه‌ای از اطلاعات اعتباری پیشتر به خطر افتاده می‌داند، گزارش SOCRadar نشان می‌دهد این کمپین همچنان فعال است و سازمان‌های دارای دستگاه‌های FortiGate باید فهرست آدرس‌های IP منتشرشده توسط بومونت را بررسی کنند.