FortiBleed: roubo massivo de credenciais liga-se ao ransomware Lynx

Um servidor mal protegido expôs o que já se suspeitava: o mega-assalto de credenciais FortiBleed não era apenas uma campanha oportunista contra firewalls Fortinet. Há agora uma ligação directa às operações de ransomware INC e Lynx, o que encaixa demasiado bem com o padrão industrializado de extorsão que temos visto nos últimos anos.

Recordando os factos: investigadores encontraram um servidor na internet com ficheiros de configuração FortiGate, credenciais extraídas de mais de 73.000 dispositivos e infraestrutura para quebrar hashes e fazer ataques de credential stuffing. A SOCRadar baptizou a operação de FortiBleed pela escala do vazamento. O ponto novo é o seguimento forense: um servidor Windows dentro desta infraestrutura foi analisado e, entre os artefactos, surgem sessões de navegador autenticadas nos painéis de negociação de ransomware dos grupos INC e Lynx.

Não é uma “prova por associação” vaga. São painéis de backoffice de ransomware, com chats de vítimas, acessados a partir da mesma infraestrutura usada para espiar tráfego de FortiGate. Para a SOCRadar, isto é evidência directa de que pelo menos um operador de FortiBleed também mexe nos bastidores das extorsões. Faz sentido: quem rouba credenciais de VPN e contas administrativas de firewalls tem a porta de serviço ideal para intrusões que acabam em encriptação de dados e pedidos de resgate de milhões, cenário que já vimos em incidentes como o ataque ao INSEE francês, ainda que com contornos técnicos bem diferentes.

Os números são menos confortáveis do que o primeiro susto deixava adivinhar. A SOCRadar fala em mais de 430.000 firewalls FortiGate visados em todo o mundo, com sniffers de tráfego instalados em cerca de 19.000 dispositivos. Depois de notificações, o número de equipamentos ainda comprometidos desceu para perto de 11.000, mas isso significa milhares de redes empresariais onde pode ter havido roubo silencioso de credenciais durante meses. A investigação identificou ainda cerca de 500 servidores usados pela operação e mais de 200 servidores “operacionais” adicionais não detectados à primeira vista, o que indica uma estrutura com escala e processos, não um grupo de amadores improvisados.

Há outro detalhe que devia estar a fazer soar alarmes em equipas de TI europeias: os atacantes terão explorado uma vulnerabilidade zero-day em Nextcloud, uma plataforma muito usada para ficheiros e colaboração interna, para movimentação lateral após o compromisso inicial. Não há ainda detalhes técnicos públicos, mas isto mostra como ataques dirigidos a infra-estrutura de rede rapidamente saltam para aplicações de colaboração onde vivem documentos sensíveis e backups esquecidos. A criação de contas de backdoor persistentes com o utilizador “adminin” é outro clássico de operação prolongada, pensado para sobreviver a mudanças de password superficiais.

INC opera em modelo ransomware-as-a-service desde meados de 2023, com alvos em saúde, educação, governo e mais, e a Lynx surge em 2024 como provável rebranding do mesmo grupo. Ligar FortiBleed a estes nomes é uma forma simples de dizer que isto não são credenciais que vão parar a fóruns de hacking e morrer ali. São matéria-prima para compromissos de alto impacto. Para quem gere firewalls Fortinet ou instâncias de Nextcloud, a lista de tarefas não é glamorosa mas é objectiva: auditoria profunda de acessos, caça a contas “adminin”, rotação agressiva de credenciais e, sobretudo, teste sério dos controlos internos, em vez de confiar que o fabricante e os relatórios anuais de segurança fazem o trabalho por ti.

Fonte: BleepingComputer