#fortibleed

[aktualitet-al]

Sulm kibernetik në Britani, dalin në shitje kredenciale të stafit qeveritar Sipas raportimeve, një sulm kibernetik ka ekspozuar llogari elektronike të stafit qeveritar britanik dhe të Ministrisë së Jashtme, ndërsa kredencialet e vjedhura po ofrohen për shitje online....

Sulm kibernetik në Britani, dalin në shitje kredenciale të stafit qeveritar

[cyber-sec]

110 Million Credentials Stolen in Massive FortiGate Firewall Breach

Attackers exploited a critical FortiClient EMS flaw to sweep through 430,000 firewalls, stealing over 110 million login credentials now fueling INC Ransom and Lynx ransomware attacks.

Source: Orca Security

Read more: CyberSecBrief

[newsababil360]

FortiBleed Campaign Tied to Lynx Ransomware: Massive Credential Theft Unveiled

### Credential Heist: FortiBleed Fuels Lynx Ransomware Surge Cyber‑crime groups have refined their tactics, linking the previously identified FortiBleed credential‑theft operation to the prolific Lynx ransomware gang. Reuters investigators traced compromised Fortinet administrator accounts through a chain of post‑exploitation moves that culminate in the deployment of Lynx’s encrypting payload, confirming a direct operational handoff between the two threats. #### Key Takeaways - **Operational Convergence:** FortiBleed’s stolen admin credentials are now being leveraged to install Lynx ransomware, indicating a coordinated supply‑chain attack model. - **Targeted Infrastructure:** The compromised accounts belong to Fortinet’s network‑security devices, providing attackers with privileged access to critical enterprise environments. - **Rapid Exploitation Path:** Researchers observed a streamlined post‑exploitation workflow that moves from credential harvest to lateral movement and finally to ransomware payload delivery. - **Threat Actor Collaboration:** The linkage suggests a symbiotic relationship between credential‑theft groups and ransomware operators, amplifying the impact of each campaign. - **Increased Risk Landscape:** Organizations relying on Fortinet solutions should reassess access controls, implement robust credential hygiene, and monitor for anomalous activity indicative of this playbook. #FortiBleed #LynxRansomware #CredentialTheft #CyberThreats #Fortinet #RansomwareOps #ThreatIntelligence #SecurityBreach #MalwareCampaign #newsababil360 [Read Full Article](https://news.ababil360.com/fortibleed-campaign-tied-to-lynx-ransomware-massive-credential-theft-unveiled/)

[the-wisper-report]

Breaching the Fort

It’s been a tough 18 months for Fortinet. I’ve seen reports on and off for months regarding vulnerabilities being exploited, but bigger things always seem to take precedence when deciding what to report on at any given time. Exploited vulnerabilities is rather par for the course, these days. Today, however, it is the bigger thing.

Fortinet is a cybersecurity company providing firewalls, endpoint security and intrusion detection systems. It was founded in 2000 and for most of its existence has done exactly what it offers without issue. In 2021, half a million login names and passwords were scraped after a hack leveraging CVE-2018-13379 that had either never been patched, or became vulnerable once more. In January of 2025, it happened again on a smaller scale but this time the leaked data was configuration files and VPN credentials of over 15K devices. Again, the hack was accomplished through an older known vulnerability, CVE-2022-40684. In November, the critical vulnerability CVE-2025-64446 was publicly disclosed, allowing attackers to gain full control over the device by exploiting a path traversal vulnerability combined with an authentication bypass. Which brings us to now, and a breach of their signature firewalls, exposing the data of roughly 74K devices, including their firewalls and VPN gateways.

As reported by Bleeping Computer (here and here), the breach was discovered by security researcher Bob Diachenko, who came across a server with what appeared to be valid Fortinet VPN credentials, including usernames, email addresses, and plaintext passwords. Digging a little deeper, and with corroboration from several other researchers, it was discovered that these credentials were from large enterprises like Chevron, Samsung, Foxconn, Comcast, AT&T, Mercedes-Benz, Toyota, Sinopec, State Grid, with Oracle, Lenovo, Federal Express and a Turkish NATO defense contractor having been added to the list since. Dubbed FortiBleed, the breach totals the data from 194 countries and impacts 21,632 unique domains.

Currently, it is not known who exactly is behind this breach, but it was carried out using a bespoke sniffer for harvesting after gaining entry through brute force attacks targeted at administrative access. CISA published a warning about the breach, along with several hardening actions that Fortinet and its customer base should take. They include the usual of rotating credentials, changing passwords and making sure sessions are terminated. Ensuring secure credential storage via the Password-Based Key Derivation Function 2 (PBKDF2) algorithm. Reviewing logs to determine if there is lateral movement and unusual access and activity. Enable phishing resistant MFA and reduce the attack surface by locking down administrative access.

Exploitation of vulnerabilities is part of the digital landscape, part and parcel of doing business these days, it seems. What’s becoming more evident is that threat actors are using these simply to gain access to pivot deeper inside an organization’s architecture, rather than being satisfied with surface level data. This is hardly the first time I’ve written about an attack that leveraged lateral pivoting as a tactic. It’s not likely to be the last.

Posted, 6/23/26

[therealistjuggernaut]

CISA WARNS OF FORTIBLEED CREDENTIAL EXPOSURE IMPACTING TENS OF THOUSANDS OF FORTINET DEVICES

Threat Summary Category: Cybersecurity AlertAffected Technology: Fortinet FortiGate Firewalls, Fortinet SSL VPN GatewaysPrimary Risk: Creden

[tupixelmuerto]

FortiBleed: cuando hasta el firewall te traiciona

Durante años, en el mundo de redes existió una religión no escrita: mientras el firewall siguiera en pie, la red seguía “segura”. Podías tener servidores configurados por alguien que consideraba la documentación una ofensa personal, un DNS que resolvía según su estado de ánimo o un router que tomaba decisiones con la misma lógica que un borracho eligiendo taxi, pero mientras el perímetro aguantara todavía quedaba algo de paz mental. Había una idea casi sagrada de que el firewall era el muro de contención definitivo, el último bastión entre tu infraestructura y el caos absoluto de Internet. El problema es que la última década se ha encargado de destruir esa fantasía con la delicadeza de una excavadora.

Porque hemos descubierto una verdad bastante incómoda: los dispositivos diseñados para protegernos también son objetivos prioritarios para los atacantes. Toda esa infraestructura crítica que vendemos como “primera línea de defensa” también es, casualmente, una superficie de ataque estupenda. Y pocos incidentes recientes lo demuestran tan bien como FortiBleed. Los equipos de Fortinet llevan años siendo el portero de discoteca de miles de organizaciones, decidiendo quién entra, quién sale y quién se queda fuera por traer credenciales sospechosamente recicladas de 2018. El problema aparece cuando descubres que ese portero no solo ha dejado pasar gente por la puerta trasera, sino que además les ha dado una copia de las llaves, la contraseña del WiFi y probablemente acceso al rack.

Eso fue, en esencia, FortiBleed. Se reveló una operación de ciberespionaje de dimensiones obscenas en la que los atacantes lograron comprometer 73.932 URLs únicas de firewalls Fortinet distribuidas en 194 países, afectando a 21.632 dominios distintos. Pero la cifra que realmente hace daño leer es otra: aproximadamente el 50% de todos los dispositivos Fortinet expuestos a Internet podrían haber sido comprometidos. Sí, la mitad. No estamos hablando de “unos cuantos mal configurados” o de “casos puntuales”; hablamos de una moneda al aire. Según la investigación, detrás de la operación había un grupo rusoparlante multioperador trabajando a escala industrial. Y cuando digo industrial, hablo de 1.160 millones de intentos de credenciales contra más de 320.000 objetivos FortiGate, además de 2.100 millones de ataques de fuerza bruta contra más de 160.000 servidores MSSQL.

Lo más irritante de todo es que la metodología no fue especialmente sofisticada. De hecho, fue ofensivamente simple, que suele ser lo peor. Escanearon Internet buscando dispositivos FortiGate con la interfaz de administración expuesta públicamente. Ese pequeño detalle que alguien deja abierto “solo temporalmente” para administrar desde casa y que termina sobreviviendo más que media infraestructura del CPD, como esos cables provisionales que ya deberían cotizar. Una vez dentro, obtenían exports completos de configuración del firewall y empezaba la fiesta.

La parte más elegante vino después. El grupo interceptaba hashes de autenticación SSL-VPN y los crackeaba offline utilizando un clúster de 45 GPUs gestionado con Hashtopolis. Traducido al castellano normal: montaron una pequeña fábrica industrial de romper contraseñas. Y cuando obtenían acceso válido, no se quedaban en el firewall. Pivotaban hacia Active Directory, porque cualquier atacante serio sabe una verdad universal: comprometer el perímetro está bien, pero controlar Active Directory es ganar la partida. En ese punto ya no eres un intruso; eres prácticamente parte del mobiliario.

Las consecuencias fueron muy reales. Se confirmaron compromisos completos en organizaciones de Japón, Taiwán, Vietnam, Irak y Turquía. Entre los casos más graves apareció incluso un contratista de defensa vinculado a la OTAN. Esto ya no es una vulnerabilidad aislada. Esto es un incidente global con implicaciones estratégicas serias. Y aquí llega la parte que más duele a cualquiera que lleva años repitiendo “parchead a la ultima versión compi”: muchos de los dispositivos afectados estaban completamente parcheados. Ese detalle revienta una de las creencias más arraigadas en IT, esa de “si parcheo, estoy protegido”. Ojalá fuera tan sencillo. Parchear sigue siendo obligatorio, claro, pero creer que parchear equivale automáticamente a seguridad es como pensar que cerrar la puerta de casa basta mientras dejas la llave debajo del felpudo.

Como "ayuda" o nivel consulta la gente de SOCRadar ofrece una herramienta pública gratuita para verificar si la dirección IP o dominio de tu organización aparece en la base de datos de atacantes. Si administras Fortinet y todavía no lo has mirado, hay bastantes probabilidades de que esta noche duermas peor que tu firewall.

Y por desgracia, lo ocurrido con FortiBleed no empezó con FortiBleed. Este incidente solo se suma a una larga lista de ataques que, año tras año, nos han ido dejando exactamente la misma lección.

➜Colonial Pipeline (2021)

Un oleoducto crítico estadounidense quedó paralizado por ransomware.

El acceso inicial vino de una cuenta VPN sin MFA (como no...).

Ni exploit sofisticado. Ni malware futurista.

Solo credenciales robadas.

➜SolarWinds (2020)

Uno de los mayores ataques de supply chain de la historia.

Los atacantes comprometieron una actualización legítima del software.

Las víctimas hicieron lo correcto —actualizar— y aun así fueron comprometidas.

Eso da miedo.

➜WannaCry (2017)

Ransomware global usando EternalBlue contra SMB de Windows.

Hospitales, bancos y organismos públicos cayeron en cascada.

Medio planeta descubrió que posponer actualizaciones era mala idea.

➜Equifax (2017)

Una vulnerabilidad conocida en Apache Struts permitió el robo de datos de 147 millones de personas.

El parche existía.

No se aplicó.

No hay exploit más peligroso que: “Ya lo haremos luego.”

➜Heartbleed (2014)

El abuelo de todos los “-bleed”.

Un fallo en OpenSSL permitía leer memoria del servidor y extraer contraseñas, cookies y claves privadas.

Fue el momento en que internet descubrió lo frágil que era realmente su seguridad.

Después de una década de incidentes, la conclusión es bastante clara: los grandes hackeos rara vez ocurren por culpa de hackers mitológicos o exploits de ciencia ficción. Normalmente nacen de una combinación mucho más humana —y peligrosa— de software complejo, malas configuraciones, credenciales comprometidas y parches que “ya aplicaremos luego”.

Y eso es precisamente lo que hace que FortiBleed sea tan inquietante: no solo demostró que incluso el firewall puede traicionarte, sino que dejó una lección incómoda para cualquiera que trabaje en IT: en ciberseguridad, tener todo en "verde" y actualizado no siempre significa estar seguro. A veces, cuando crees que el perímetro sigue protegiéndote, el atacante ya está más cómodo en tu red que tú un viernes a las 15:00 saliendo del trabajo.

Pixelmuerto.

[cyber-sec]

Hackers Left the Door Open: Inside the FortiBleed Credential Theft Machine

An exposed attacker server has blown the lid off FortiBleed, revealing a full industrial-scale operation using GPU cracking farms, Telegram-controlled bots, and Active Directory credential harvesting targeting hundreds of organisations worldwide.

Source: CloudSEK

Read more: CyberSecBrief