JADEPUFFER: o primeiro ransomware agêntico
JADEPUFFER: o primeiro ransomware agêntico
External Attack Surface Management: reduzindo sua exposição externa
External Attack Surface Management: reduzindo sua exposição externa
Antecipe as ameaças ao seu setor com inteligência em tempo real.
Antecipe as ameaças ao seu setor com inteligência em tempo real.
Seus executivos são alvos. Monitore a exposição digital da liderança.
Seus executivos são alvos. Monitore a exposição digital da liderança.
Threat News
3 min de leitura
FortiBleed: dezenas de milhares de firewalls Fortinet comprometidos sem nenhum zero-day
Time de Inteligência safe-e
Cyber Threat Intelligence
Entre 30 mil e 75 mil FortiGate em 194 países, sem falha nova. Só senhas reutilizadas, contas padrão e hashes SSL VPN quebrados offline. A maioria segue online.
A campanha está ativa agora, enquanto você lê este artigo.
Não foi uma vulnerabilidade nova. Não foi um zero-day. O que comprometeu entre 30 mil e 75 mil firewalls FortiGate em 194 países foi algo mais simples: senhas reutilizadas, contas administrativas com nome padrão de fábrica e hashes de autenticação SSL VPN quebrados offline. A campanha "FortiBleed" é um lembrete direto de que perímetro não garante segurança quando as credenciais que o protegem já circulam em bases de infostealer. A grande maioria dos dispositivos comprometidos permanece online e ativa. O atacante ainda tem acesso.
O que aconteceu
O pesquisador Volodymyr Diachenko identificou um servidor operacional de um grupo de ameaça exposto publicamente, contendo ferramentas de automação e uma base de credenciais Fortinet validadas. Hudson Rock e SOCRadar analisaram os dados de forma independente. Os números divergem (30.791 dispositivos vs. mais de 73 mil URLs únicas), mas o diagnóstico é o mesmo: escala industrial, credenciais funcionais e operação em andamento.
Entre os domínios identificados constam Foxconn, Samsung, Siemens, Oracle, PwC, Comcast, Chevron, AT&T, Toyota e centenas de entidades governamentais. Presença no conjunto de dados indica credenciais validadas para aquele domínio. Não é confirmação de violação declarada por cada organização, mas tampouco é um falso alarme.
Casos de comprometimento total de rede foram documentados no Japão, Taiwan, Vietnã, Iraque e Turquia. No caso turco, a investigação aponta para um contratado do setor de defesa associado à OTAN, com alegação de exfiltração de documentos classificados. Essa alegação específica ainda aguarda confirmação independente.
Como a cadeia funciona
A operação é automatizada e autorreforçada. Cada dispositivo comprometido alimenta o ciclo com novas credenciais:
Varredura de instâncias FortiGate expostas na internet (porta 443 e variantes: 4443, 8443, 10443).
Credential stuffing com senhas de vazamentos anteriores e coletas de infostealer.
Captura de hashes SSL VPN para quebra offline em cluster de 45 GPUs via Hashtopolis.
Validação automática de cada credencial: só entra o que funciona.
Pivotamento lateral para Active Directory em comprometimentos mais profundos.
Uso do dispositivo comprometido como ponto de escuta para capturar credenciais em trânsito e realimentar o motor de varredura.
Por que senhas complexas não ajudaram
Parte relevante das credenciais comprometidas incluía senhas de até 20 caracteres. Complexidade não protege uma senha que já foi coletada por infostealer e circula em texto plano em bases underground.
Detalhe técnico crítico: a Fortinet migrou para o algoritmo PBKDF2 no início de 2025. Essa proteção só vale para dispositivos cujos administradores fizeram login após atualizar o firmware. Dispositivos sem esse login posterior continuaram armazenando credenciais em SHA-256 com salt, vulnerável à quebra offline. O firewall estava atualizado. A credencial, não.
O que fazer agora: recomendações completas de mitigação
Execute este checklist imediatamente. Não aguarde confirmação de presença nos conjuntos de dados.
Rotacionar todas as credenciais agora. Redefinir senhas de todas as contas administrativas e de VPN SSL associadas a dispositivos Fortinet. A complexidade da senha anterior é irrelevante se ela já foi vazada.
Habilitar MFA obrigatório em todas as interfaces de gerenciamento e de acesso remoto expostas externamente, sem exceção.
Auditar e renomear contas padrão. Variações do usuário "admin" representam mais de um terço das entradas no conjunto de dados. Renomear ou desativar todas as contas administrativas genéricas e contas de sistema nativas da Fortinet.
Restringir o acesso ao painel administrativo. Aplicar políticas local-in para limitar o acesso à interface de gerenciamento exclusivamente a IPs internos confiáveis. Desabilitar FortiCloud SSO quando não for estritamente necessário.
Atualizar o firmware e fazer login após a atualização. A migração das credenciais para o algoritmo PBKDF2 só ocorre com o login administrativo posterior à aplicação do update. Sem esse login, o dispositivo atualizado ainda armazena credenciais no formato vulnerável.
Revisar logs de acesso e VPN em busca de localizações de login anômalas, sessões administrativas inesperadas, horários de acesso fora do padrão e volumes de tráfego incomuns.
Verificar exposição de domínio nas duas ferramentas gratuitas disponíveis. A Hudson Rock disponibilizou um portal de consulta por domínio para checagem direta no conjunto de dados da campanha. A SOCRadar oferece o Free Dark Web Report para varredura em dark web, logs de infostealer e bases de credenciais. Use as duas: os conjuntos de dados têm cobertura parcialmente distinta.
Engajar equipe de resposta a incidentes imediatamente caso o domínio da organização seja identificado em qualquer um dos conjuntos de dados. Tratar o resultado positivo como indício de acesso não autorizado já efetivado, não como risco teórico. Não aguardar confirmação adicional para iniciar a resposta.
Conclusão
FortiBleed não exigiu nenhuma descoberta técnica nova. Exigiu automação, credenciais velhas e uma lista de alvos que qualquer scanner de porta entrega.
O atacante já tem o acesso. A pergunta é quanto tempo ele vai manter.