FortiBleed攻撃は引き続きFortinet製FortiGateを標的にしています。SOCRadarによると、被害は194カ国で8万6,644台以上のデバイスに及んでいます。
SecureNetworks
FBIと米シークレットサービスは、2026年10月6日に公表した共同勧告（PDF）で、インターネットに公開されたFortinet製FortiGateファイアウォールおよびSSL VPNゲートウェイを狙うFortiBleed攻撃が継続しているとして、注意を呼びかけました。
Hackread.comは6月、Hudson Rockと研究者のVolodymyr “Bob” Diachenko氏の調査結果に基づき、FortiBleedを初めて報じました。その後、このキャンペーンはINC RansomおよびLynxランサムウェアの活動と関連付けられました。公開されたFortiGateへのアクセスが、認証情報の悪用からランサムウェア攻撃へと発展しうることを示しています。
SOCRadarは今回、キャンペーンのインフラ、認証情報のクラッキング作戦、侵害指標（IoC）に関する新たな調査結果をHackread.comに共有しました。
最新の調査によると、194カ国で8万6,644台以上のデバイスが侵害されています。攻撃者がパスワードを変更したり既存アカウントを削除したりしたため、管理者が締め出された被害者もいます。
今回の勧告は、このキャンペーンで得たアクセスに関与するグループとして、Payloadランサムウェアも挙げています。
FortiBleed攻撃の手口
このキャンペーンはFortiOSのゼロデイ脆弱性に依存していません。攻撃者は、過去のFortinet関連の漏えい情報や情報窃取マルウェア（インフォスティーラー）のログから入手した認証情報を使い、クレデンシャルスタッフィング（盗んだユーザー名とパスワードの組み合わせで他のアカウントへのログインを試みる手法）と、パスワードスプレー（多数のアカウントに対し、よく使われる少数のパスワードを試す手法）を仕掛けています。
さらに、HashcatとHashtopolisを実行するGPU搭載システムを使い、盗んだパスワードハッシュをオフラインで解読します。パスワードの解読はHashcatが担い、Hashtopolisが複数のシステムに処理を分散させます。
FortiOSが従来採用していたSHA-256によるパスワード保存方式も、攻撃者がハッシュから認証情報を復元しやすくする要因となりました。有効な認証情報を見つけた攻撃者は、インターネットに公開されたFortinet製デバイスをスキャンし、それを使って標的のネットワークに侵入します。
侵害したデバイスでは、アカウント設定の変更も確認されています。新しい管理者アカウントの作成、既存アカウントの削除、パスワードの変更などを行い、正規の管理者がログインできない状態にすることがあります。
組織が確認すべき点
SOCRadarによると、攻撃者は自動化スクリプトで狙うべき標的を見極め、ハニーポットを除外し、売上高やネットワーク構成などの要素で組織をランク付けしています。侵入後はActive Directoryを列挙し、より高い権限を持つアカウントを探すとみられます。
勧告は、不審な管理者アカウント名としてadminin, forticloud-tech, gttadmin, Technical_support, my_admin, forti_support2、fgtsecureなどを挙げています。影響を受けた可能性のあるFortiGateデバイス上の既知のアカウントと照合し、これらの名前がないか確認してください。
SecureNetworks
SSHが外部に公開されていなかったかどうかや、デバイスに設定されたREST APIキーの確認も必要です。不正なAPIキーが残っていると、パスワードを変更した後もアクセスを許してしまいます。
FortiGate管理者が取るべき対応
パスワードのリセットは、対応の一部にすぎません。勧告はこのほか、有効な管理者セッションとVPNセッションの終了、Fortinet認証情報のリセット、インターネットからの管理アクセスの制限を求めています。追加の防御策として、フィッシング耐性のある多要素認証も推奨しています。
パスワードの保存方式も確認が必要です。FBIとシークレットサービスは、旧来のSHA-256方式から脱却し、対応するFortiOSバージョンではPBKDF2を使うよう勧めています。
侵害が確認された場合は、変更を加える前に、影響を受けたシステムを隔離し、ログなどの証拠を確認してください。勧告は、攻撃者の永続化の手口を特定して排除するための手段として、CISAのEviction Strategies Toolも紹介しています。
翻訳元: https://hackread.com/fbi-fortibleed-campaign-active-fortigate-devices/
