Исследователи из SOCRadar раскрыли новые детали кампании FortiBleed, в ходе которой злоумышленники скомпрометировали десятки тысяч устройств Fortinet. Основной целью атак были брандмауэры FortiGate, на которые преступники устанавливали собственные снифферы.

В отличие от типичных атак, здесь использовался кастомный инструмент для перехвата трафика, специально написанный под архитектуру FortiGate. Сниффер позволял злоумышленникам собирать учетные данные и сессионные токены, проходящие через скомпрометированное устройство.

После получения доступа к инфраструктуре жертвы преступники не ограничивались кражей данных. Собранные учетные записи и доступы к сетям впоследствии перепродавались другим киберпреступным группировкам на теневых форумах.

Атака затронула сотни устройств по всему миру, что говорит о масштабной и хорошо скоординированной операции. Использование специализированного сниффера под конкретную платформу указывает на глубокое понимание архитектуры FortiGate атакующими.

На данный момент неизвестно, какая именно уязвимость использовалась для первоначального проникновения на устройства. Эксперты рекомендуют администраторам FortiGate проверить логи на предмет подозрительной активности и сменить все учетные данные, которые могли быть скомпрометированы.