De FBI waarschuwt dat de aanvalscampagne rond FortiBleed nog altijd doorgaat. Criminelen misbruiken blootgestelde Fortinet FortiGate-firewalls en SSL-VPN-gateways en sluiten legitieme beheerders buiten hun eigen apparaten.
Volgens de FBI krijgen de aanvallers aanvankelijk toegang via gelekte inloggegevens of gegevens uit infostealer-malware. Vervolgens halen ze de wachtwoordhashes van de gecompromitteerde apparaten en kraken die offline, met een gedistribueerd cluster van GPU’s dat de tools Hashcat en Hashtopolis draait. Met de gekraakte wachtwoorden maken ze nieuwe, kwaadaardige beheerdersaccounts aan en verwijderen of resetten ze de wachtwoorden van de bestaande beheerders, zodat die zelf niet meer kunnen inloggen.
De oorsprong van de campagne ligt bij een datalek van juni 2026, waarbij 73.932 firewall-URL’s in 194 landen uitlekten. Dreigingsonderzoeker SOCRadar houdt de teller inmiddels op 86.644 gecompromitteerde apparaten. Op een blootgestelde backend-server van de daders vonden onderzoekers geautomatiseerde scantools, scripts om gestolen inloggegevens te valideren, filters tegen honeypots en een aanbod van reeds gecompromitteerde toegang, een teken dat de buit actief te koop wordt aangeboden.
De campagne functioneert als opstap naar grotere aanvallen. Volgens de FBI gebruiken de groepen achter INC/Lynx- en Payload-ransomware de buitgemaakte VPN-toegang om netwerken binnen te komen.
De FBI roept beheerders op om externe toegang tot VPN-portals te beperken, alle actieve VPN-sessies te beëindigen, meervoudige authenticatie te verplichten, logs te controleren op ongeautoriseerde accountwijzigingen en over te stappen van SHA-256 naar het sterkere PBKDF2 voor het hashen van wachtwoorden.
Voor Nederlandse organisaties met een FortiGate-firewall is dit een goed moment om de beheerinterface na te lopen. Controleer of er onbekende accounts zijn aangemaakt, kijk naar recente wachtwoordresets die u niet zelf heeft uitgevoerd en zet MFA aan voor alle beheerdersaccounts als dat nog niet is gebeurd. Is de VPN-portal zonder noodzaak vanaf het internet bereikbaar, overweeg dan die toegang te beperken tot bekende IP-reeksen.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Gebruikt uw organisatie een FortiGate-firewall met SSL-VPN? Controleer dan op onbekende beheerdersaccounts en recente wachtwoordresets, beperk de externe bereikbaarheid van de VPN-portal en schakel MFA in voor alle beheerders.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.