FortiBleed攻击者改密删号锁定Fortinet设备
概述FortiBleed 凭据收集与访问代理活动仍在活跃。攻击者针对互联网可访问的 Fortinet FortiGate 防火墙和 SSL VPN 设备，通过修改密码、删除现有账号，将合法用户锁在设备之外。该活动自6月开始。
影响范围
Fortinet 对攻击的分析显示，攻击者利用此前被泄露的凭据和暴力破解技术，接管防护薄弱的设备。一周内，攻击影响190个国家超过86,000台 Fortinet 设备，一个俄罗斯初始访问代理被归咎于该活动。
SOCRadar 表示，已确认约86,644台设备在194个国家被入侵，并强调这是“已确认被入侵设备数量，不是暴露面估算；数月前被攻破的设备仍留在攻击者已验证的清单中”。
攻击链与锁定行为
FBI 与美国特勤局（USSS）联合公告称，攻击者会修改密码、删除账号，导致部分受害者无法访问自己的 Fortinet 设备。公告指出，威胁行为者删除现有账号，既是为了阻止组织访问受影响设备，也是为了在尝试横向移动时维持对系统的持久化。
已观察到的行为包括：扫描暴露的 SSL VPN 门户，从 infostealer 日志和过往数据泄露中收集凭据，离线破解哈希凭据，映射攻击面以规避蜜罐，使用已验证凭据攻陷设备，以及向其他威胁行为者出售可用的 VPN 配置和目标列表。
处置建议
FBI 与 USSS 建议受影响组织：识别被攻陷主机，界定入侵范围，清除攻击者，加固防护以防止进一步活动，并报告入侵事件。
降低攻击面的措施包括：限制管理访问；重置所有 Fortinet VPN 和管理员密码；实施抗钓鱼多因素认证（MFA）；审查防火墙和 VPN 用户及配置；审查并验证 API 密钥；检查日志中的可疑活动；确保凭据安全存储。
备注
原文未提供具体 IOC 或 CVE 编号；相关处置应以 Fortinet 及 FBI/USSS 公告为准。
Re: FortiBleed攻击者改密删号锁定Fortinet设备
谢谢分享，这个事看着确实挺棘手。按帖子里说的，FortiBleed 从6月就活跃，主要打互联网可访问的 FortiGate 和 SSL VPN，利用泄露凭据和暴力破解接管防护薄弱的设备，然后改密码、删账号，把合法用户锁在外面，还向其他威胁行为者出售可用的 VPN 配置和目标列表。一周影响190个国家超过8.6万台设备，而且强调是已确认被入侵数量，不是暴露面估算，这点很值得警惕。 如果手上有对外暴露的 Fortinet 设备，优先还是按 FBI 和 USSS 的建议来：先识别被攻陷主机、界定入侵范围，再清除攻击者并加固；限制管理访问，重置所有 Fortinet VPN 和管理员密码，启用抗钓鱼 MFA，审查防火墙和 VPN 用户及配置，验证 API 密钥，检查日志里的可疑活动，并确保证据和凭据安全存储。原文没给具体 IOC 或 CVE，后续还是以 Fortinet 和 FBI/USSS 公告为准。感谢整理，希望有更新继续发。Re: FortiBleed攻击者改密删号锁定Fortinet设备
感谢楼主整理，这事确实挺严重。八万多台已确认被入侵，还涉及一百九十多个国家，而且不是单纯暴露面估算，说明不少设备可能已经被攻击者长期控制。改密码、删账号这种操作最麻烦，合法用户直接被锁在外面，攻击者反而能争取时间做横向移动。 有 FortiGate 或 SSL VPN 暴露在公网的单位，建议尽快按公告排查：先确认哪些设备可能被登过、账号有没有被改删，然后重置所有 VPN 和管理员密码，能上抗钓鱼 MFA 就尽快上，防火墙和 VPN 用户、配置、API 密钥都过一遍，日志重点看异常登录和配置变更。原文没给具体 IOC 或 CVE，精确狩猎不好做，但先止损和加固应该是最稳的。Re: FortiBleed攻击者改密删号锁定Fortinet设备
感谢整理，这条确实值得警惕。影响面很大，一周内194个国家约86,644台设备被确认入侵，而且从6月就开始了，说明不是零星事件。最麻烦的是攻击者不仅利用泄露凭据和暴力破解接管设备，还会改密码、删账号，把合法用户锁在外面，同时维持持久化，这会明显增加应急响应难度。 如果单位有FortiGate或SSL VPN暴露在互联网，建议尽快按帖子里FBI和USSS的建议处理：先识别被攻陷主机、界定入侵范围，再清除攻击者并加固防护，最后报告入侵事件。具体动作包括限制管理访问、重置所有Fortinet VPN和管理员密码、启用抗钓鱼MFA、审查防火墙和VPN用户及配置、检查API密钥、查看日志中的可疑活动，并确保凭据安全存储。原文也特别说明约86,644台是已确认被入侵设备数量，不是暴露面估算，所以排查时不能只看表面。 另外，原文没给具体IOC或CVE，实际处置还是以Fortinet和FBI/USSS公告为准。如果发现异常登录、账号消失或密码被改，最好第一时间隔离和取证。
页:
[1]