-
07 oktober 2026 om 15:22 | person_outline 47
Waarschuwing voor wereldwijde campagne die Fortinet-firewalls viseert
Het FBI en de U.S. Secret Service hebben een gezamenlijk advies uitgegeven over de FortiBleed-campagne, een operatie die wereldwijd internet-gekoppelde Fortinet FortiGate-firewalls en SSL VPN-gateways treft. Naar verluidt zijn meer dan 86.644 apparaten in 194 landen getroffen door deze campagne die zich richt op het compromitteren van inloggegevens.
Aanvallers maken gebruik van hergebruikte, gelekte of zwakke inloggegevens, evenals verouderde SHA-256 wachtwoordopslag. Ze passen methoden toe zoals credential stuffing en password spraying om inloggegevens te testen die afkomstig zijn uit eerdere datalekken en infostealer-logs. De operatie kwam aan het licht nadat beheerders per ongeluk een backend-server blootlegden met daarin tools, doelgegevens en workflows, wat duidde op een georganiseerde access-broker operatie.
Na succesvolle toegang kunnen aanvallers nieuwe administratoraccounts aanmaken om blijvende toegang te garanderen. Vervolgens kunnen ze Active Directory-gebruikers opsommen, bevoorrechte accounts identificeren en proberen laterale beweging binnen de netwerken van slachtoffers uit te voeren. Dreigingsactoren wijzigen wachtwoorden, schakelen accounts uit of verwijderen legitieme administratoraccounts nadat ze hun eigen persistente accounts hebben aangemaakt. Dit kan ertoe leiden dat sommige getroffen organisaties de toegang tot hun eigen Fortinet-apparaten verliezen.
De FortiBleed-activiteit wordt in verband gebracht met initiële-toegangsbereiders die ransomware-operaties ondersteunen. Er zijn meldingen van downstream ransomware-verbindingen met INC/Lynx en Payload ransomware.
Organisaties wordt aangeraden alle Fortinet administratieve en VPN-accounts te controleren op onbekende accounts, zoals forticloud-sync, fgtsecure, forti_support2, of Technical_support. Beveiligingsteams dienen ook onverwachte REST API-sleutels, configuratiewijzigingen, verdachte authenticatieactiviteit en verbindingen met bekende kwaadaardige infrastructuur te onderzoeken. Het beoordelen van firewall-, VPN-, authenticatie- en domeincontrollerlogs is essentieel om ongeautoriseerde accounts, succesvolle verdachte logins, laterale beweging en pogingen tot configuratiewijzigingen te identificeren.
De instanties adviseren om externe beheerstoegang te beperken via vertrouwde hosts of lokale beleidsregels, en beheer via internet waar mogelijk te elimineren. Beheerders wordt geadviseerd actieve administratieve en VPN-sessies te beëindigen, alle Fortinet VPN- en administrateur-inloggegevens opnieuw in te stellen en phishing-resistente multifactorauthenticatie af te dwingen voor externe toegang en beheerinterfaces. Organisaties die FortiOS gebruiken, moeten ook verifiëren dat administrator-inloggegevens PBKDF2 gebruiken in plaats van zwakkere legacy hashing-methoden.
Aanvallers maken gebruik van hergebruikte, gelekte of zwakke inloggegevens, evenals verouderde SHA-256 wachtwoordopslag. Ze passen methoden toe zoals credential stuffing en password spraying om inloggegevens te testen die afkomstig zijn uit eerdere datalekken en infostealer-logs. De operatie kwam aan het licht nadat beheerders per ongeluk een backend-server blootlegden met daarin tools, doelgegevens en workflows, wat duidde op een georganiseerde access-broker operatie.
Na succesvolle toegang kunnen aanvallers nieuwe administratoraccounts aanmaken om blijvende toegang te garanderen. Vervolgens kunnen ze Active Directory-gebruikers opsommen, bevoorrechte accounts identificeren en proberen laterale beweging binnen de netwerken van slachtoffers uit te voeren. Dreigingsactoren wijzigen wachtwoorden, schakelen accounts uit of verwijderen legitieme administratoraccounts nadat ze hun eigen persistente accounts hebben aangemaakt. Dit kan ertoe leiden dat sommige getroffen organisaties de toegang tot hun eigen Fortinet-apparaten verliezen.
De FortiBleed-activiteit wordt in verband gebracht met initiële-toegangsbereiders die ransomware-operaties ondersteunen. Er zijn meldingen van downstream ransomware-verbindingen met INC/Lynx en Payload ransomware.
Organisaties wordt aangeraden alle Fortinet administratieve en VPN-accounts te controleren op onbekende accounts, zoals forticloud-sync, fgtsecure, forti_support2, of Technical_support. Beveiligingsteams dienen ook onverwachte REST API-sleutels, configuratiewijzigingen, verdachte authenticatieactiviteit en verbindingen met bekende kwaadaardige infrastructuur te onderzoeken. Het beoordelen van firewall-, VPN-, authenticatie- en domeincontrollerlogs is essentieel om ongeautoriseerde accounts, succesvolle verdachte logins, laterale beweging en pogingen tot configuratiewijzigingen te identificeren.
De instanties adviseren om externe beheerstoegang te beperken via vertrouwde hosts of lokale beleidsregels, en beheer via internet waar mogelijk te elimineren. Beheerders wordt geadviseerd actieve administratieve en VPN-sessies te beëindigen, alle Fortinet VPN- en administrateur-inloggegevens opnieuw in te stellen en phishing-resistente multifactorauthenticatie af te dwingen voor externe toegang en beheerinterfaces. Organisaties die FortiOS gebruiken, moeten ook verifiëren dat administrator-inloggegevens PBKDF2 gebruiken in plaats van zwakkere legacy hashing-methoden.
Facts
1. Het FBI en de U.S. Secret Service hebben een gezamenlijk advies uitgegeven waarin wordt gewaarschuwd voor de FortiBleed-campagne. Dit is een campagne die zich richt op internet-gekoppelde Fortinet FortiGate-firewalls en SSL VPN-gateways wereldwijd.
2. De campagne is een operatie waarbij inloggegevens worden gecompromitteerd. Meer dan 86.644 apparaten in 194 landen zijn naar verluidt getroffen.
3. Aanvallers maken naar verluidt gebruik van hergebruikte, gelekte of zwakke inloggegevens om toegang te krijgen tot FortiGate-apparaten. Ze maken ook gebruik van verouderde SHA-256 wachtwoordopslag.
4. De aanvallers gebruikten naar verluidt credential stuffing en password spraying om inloggegevens te testen die waren verkregen uit eerdere datalekken en infostealer-logs.
5. De operatie werd zichtbaar nadat beheerders per ongeluk een backend-server hadden blootgelegd met tools, doelgegevens en workflows. Deze blootgestelde infrastructuur toonde een georganiseerde access-broker operatie.
6. Na het verkrijgen van toegang kunnen aanvallers nieuwe FortiGate-administratoraccounts aanmaken om toegang te behouden. Ze kunnen vervolgens Active Directory-gebruikers opsommen, bevoorrechte accounts identificeren en proberen laterale beweging uit te voeren binnen netwerken van slachtoffers.
7. Dreigingsactoren hebben wachtwoorden gewijzigd, accounts uitgeschakeld of legitieme administratoraccounts verwijderd nadat ze hun eigen persistente accounts hadden aangemaakt. Sommige getroffen organisaties kunnen de toegang tot hun eigen Fortinet-apparaten verliezen.
8. De FortiBleed-activiteit is in verband gebracht met initiële-toegangsbereiders die ransomware-operaties ondersteunen. Gemelde downstream ransomware-verbindingen zijn INC/Lynx en Payload ransomware.
9. Organisaties wordt aangeraden alle Fortinet administratieve en VPN-accounts te controleren, met name onbekende accounts zoals forticloud-sync, fgtsecure, forti_support2, of Technical_support. Beveiligingsteams moeten ook onverwachte REST API-sleutels, configuratiewijzigingen, verdachte authenticatieactiviteit en verbindingen met bekende kwaadaardige infrastructuur onderzoeken. Firewall-, VPN-, authenticatie- en domeincontrollerlogs moeten worden beoordeeld om ongeautoriseerde accounts, succesvolle verdachte logins, laterale beweging en pogingen om apparaatconfiguraties te wijzigen te identificeren.
10. De instanties bevelen aan om externe beheerstoegang te beperken via vertrouwde hosts of lokale beleidsregels en beheer via internet waar mogelijk te verwijderen. Beheerders moeten actieve administratieve en VPN-sessies beëindigen, alle Fortinet VPN- en administrateur-inloggegevens opnieuw instellen en phishing-resistente multifactorauthenticatie afdwingen voor externe toegang en beheerinterfaces.
11. Organisaties die FortiOS draaien, moeten ook verifiëren dat administrator-inloggegevens PBKDF2 gebruiken in plaats van zwakkere legacy hashing-methoden.
Popup content goes here.
Nog geen account? Klik hier om te registreren!
Met een account heeft u de mogelijkheid om het gehele nieuwsoverzicht te bekijken en op ieder artikel een reactie-icoon te geven.
Met Newsfacts.info kunt u op de hoogte blijven van de laatste ontwikkelingen, zonder veel tijd te besteden aan het volgen van het nieuws. Ontdek vandaag nog de voordelen van Newsfacts.info!
Login
-
Gebruikersnaam
-
Wachtwoord