Campanha FortiBleed Ligada a Grupos de Ransomware INC e Lynx
Pesquisadores da SOCRadar identificaram a campanha FortiBleed, que rouba credenciais de dispositivos FortiGate, como a fonte de acesso para os grupos de ransomware INC e Lynx. A campanha resultou em centenas de sistemas criptografados.
MundiX News·06 de julho de 2026·6 min de leitura·👁 2 views
Pesquisadores da SOCRadar associaram a campanha em larga escala FortiBleed aos grupos de ransomware INC e Lynx. De acordo com os especialistas, as credenciais roubadas de dispositivos FortiGate foram subsequentemente utilizadas para penetrar em redes corporativas, com pelo menos 12 ataques resultando na criptografia de centenas de sistemas.
Esta saga começou no final de junho de 2026, quando o especialista em segurança cibernética Bob Diachenko descobriu um servidor aberto na internet contendo um banco de dados com URLs de dezenas de milhares de dispositivos FortiGate e VPNs Fortinet, juntamente com logins, endereços de e-mail e senhas em texto claro. Posteriormente, descobriu-se que a campanha, apelidada de FortiBleed, estava ativa desde fevereiro de 2026. Os invasores estavam escaneando massivamente a internet em busca de dispositivos Fortinet e utilizando logins e senhas padrão para acesso. Em muitos casos, eles também exploravam credenciais previamente comprometidas em vazamentos de dados. Uma vez bem-sucedida a invasão, um sniffer escrito em Go, chamado FortigateSniffer, era instalado nos dispositivos. Este sniffer interceptava o tráfego que passava pelos firewalls, extraindo credenciais, hashes de senhas e outras informações sensíveis.
Os pesquisadores também encontraram evidências de que outros sistemas estavam sendo visados. A infraestrutura do FortiBleed continha uma lista de 29.000 endereços IP e 37 domínios associados a ambientes Citrix. Embora isso não signifique que a coleta em massa de credenciais de dispositivos Citrix já tenha começado, indica uma fase ativa de reconhecimento. Estima-se que mais de 430.000 firewalls FortiGate em todo o mundo foram alvos de hackers, que coletaram mais de 110 milhões de credenciais. O sniffer foi instalado em aproximadamente 12.000 dispositivos.
Conforme detalhado em um novo relatório da SOCRadar, os analistas rastrearam o escaneamento de cerca de 11.250 portais FortiGate em mais de 150 países. Os hackers obtiveram acesso administrativo a 409 dispositivos e, em 354 casos, expandiram o ataque, comprometendo VPNs, alcançando controladores de domínio e obtendo privilégios de administrador de domínio. É crucial notar que, em 12 dessas instâncias, o acesso obtido pelos hackers foi usado para implantar ransomware, resultando na criptografia de centenas de dispositivos nas organizações afetadas.
Os pesquisadores relatam que um erro cometido pelos próprios hackers ajudou a vincular a campanha FortiBleed aos grupos de ransomware. Um dos 200 servidores de atacantes descobertos estava acessível pela internet e continha arquivos internos, logs, scripts de automação, listas de alvos e documentação operacional dos criminosos. Este servidor era usado para preparar ataques e coordenar operações, e não para phishing ou coleta direta de credenciais.
No servidor, os pesquisadores identificaram vestígios de um operador que tinha acesso aos sistemas internos do INC e Lynx, onde os grupos de ransomware se comunicam com suas vítimas. Além disso, descobriu-se que algumas organizações da base de dados do FortiBleed apareciam nas listas de vítimas do ransomware INC. "Esta é uma prova clara de que as credenciais roubadas no âmbito do FortiBleed foram repassadas aos grupos de ransomware ou usadas diretamente para a implantação de ransomware", concluem os especialistas.
O relatório observa que as ferramentas, logs e cronogramas operacionais descobertos sugerem operadores de língua russa. É provável que se trate de um 'access broker', que compromete redes de organizações e, em seguida, repassa as informações para outros criminosos. A análise de documentos internos dos invasores indicou que aproximadamente 20 pessoas participaram da operação: um pequeno grupo de operadores foi responsável pelos ataques mais sérios, enquanto os demais se dedicaram mais ao suporte técnico e à manutenção da infraestrutura. Os principais alvos dos hackers foram empresas dos setores de manufatura, tecnologia e logística na América Latina e na região Ásia-Pacífico.
Além disso, os especialistas agora acreditam que os operadores do FortiBleed possuem pelo menos uma vulnerabilidade zero-day no Nextcloud. Representantes da SOCRadar já compartilharam os dados coletados com os desenvolvedores da plataforma.
🛡️⚡
Pare de pesquisar. Comece a hackear.
O MundiX é seu copiloto de pentest com IA: comandos exatos, análise de outputs e próximo passo na kill chain — em segundos.
Sem cartão para começar · Planos a partir de R$49/mês
Pesquisadores da SOCRadar associaram a campanha em larga escala FortiBleed aos grupos de ransomware INC e Lynx. De acordo com os especialistas, as credenciais roubadas de dispositivos FortiGate foram subsequentemente utilizadas para penetrar em redes corporativas, com pelo menos 12 ataques resultando na criptografia de centenas de sistemas.
Esta saga começou no final de junho de 2026, quando o especialista em segurança cibernética Bob Diachenko descobriu um servidor aberto na internet contendo um banco de dados com URLs de dezenas de milhares de dispositivos FortiGate e VPNs Fortinet, juntamente com logins, endereços de e-mail e senhas em texto claro. Posteriormente, descobriu-se que a campanha, apelidada de FortiBleed, estava ativa desde fevereiro de 2026. Os invasores estavam escaneando massivamente a internet em busca de dispositivos Fortinet e utilizando logins e senhas padrão para acesso. Em muitos casos, eles também exploravam credenciais previamente comprometidas em vazamentos de dados. Uma vez bem-sucedida a invasão, um sniffer escrito em Go, chamado FortigateSniffer, era instalado nos dispositivos. Este sniffer interceptava o tráfego que passava pelos firewalls, extraindo credenciais, hashes de senhas e outras informações sensíveis.
Os pesquisadores também encontraram evidências de que outros sistemas estavam sendo visados. A infraestrutura do FortiBleed continha uma lista de 29.000 endereços IP e 37 domínios associados a ambientes Citrix. Embora isso não signifique que a coleta em massa de credenciais de dispositivos Citrix já tenha começado, indica uma fase ativa de reconhecimento. Estima-se que mais de 430.000 firewalls FortiGate em todo o mundo foram alvos de hackers, que coletaram mais de 110 milhões de credenciais. O sniffer foi instalado em aproximadamente 12.000 dispositivos.
Conforme detalhado em um novo relatório da SOCRadar, os analistas rastrearam o escaneamento de cerca de 11.250 portais FortiGate em mais de 150 países. Os hackers obtiveram acesso administrativo a 409 dispositivos e, em 354 casos, expandiram o ataque, comprometendo VPNs, alcançando controladores de domínio e obtendo privilégios de administrador de domínio. É crucial notar que, em 12 dessas instâncias, o acesso obtido pelos hackers foi usado para implantar ransomware, resultando na criptografia de centenas de dispositivos nas organizações afetadas.
Os pesquisadores relatam que um erro cometido pelos próprios hackers ajudou a vincular a campanha FortiBleed aos grupos de ransomware. Um dos 200 servidores de atacantes descobertos estava acessível pela internet e continha arquivos internos, logs, scripts de automação, listas de alvos e documentação operacional dos criminosos. Este servidor era usado para preparar ataques e coordenar operações, e não para phishing ou coleta direta de credenciais.
No servidor, os pesquisadores identificaram vestígios de um operador que tinha acesso aos sistemas internos do INC e Lynx, onde os grupos de ransomware se comunicam com suas vítimas. Além disso, descobriu-se que algumas organizações da base de dados do FortiBleed apareciam nas listas de vítimas do ransomware INC. "Esta é uma prova clara de que as credenciais roubadas no âmbito do FortiBleed foram repassadas aos grupos de ransomware ou usadas diretamente para a implantação de ransomware", concluem os especialistas.
O relatório observa que as ferramentas, logs e cronogramas operacionais descobertos sugerem operadores de língua russa. É provável que se trate de um 'access broker', que compromete redes de organizações e, em seguida, repassa as informações para outros criminosos. A análise de documentos internos dos invasores indicou que aproximadamente 20 pessoas participaram da operação: um pequeno grupo de operadores foi responsável pelos ataques mais sérios, enquanto os demais se dedicaram mais ao suporte técnico e à manutenção da infraestrutura. Os principais alvos dos hackers foram empresas dos setores de manufatura, tecnologia e logística na América Latina e na região Ásia-Pacífico.
Além disso, os especialistas agora acreditam que os operadores do FortiBleed possuem pelo menos uma vulnerabilidade zero-day no Nextcloud. Representantes da SOCRadar já compartilharam os dados coletados com os desenvolvedores da plataforma.
📤 Compartilhar & Baixar
🧰 Ferramentas recomendadas
Divulgação: alguns links são patrocinados. Podemos receber comissão se você comprar — sem custo extra para você. Só indicamos o que faz sentido para a comunidade.
