El FBI advierte de ataques persistentes contra administradores de FortiGate

El FBI advirtió el 7 de octubre de 2026 de que continúan los ataques FortiBleed contra firewalls Fortinet FortiGate y puertas de enlace SSL VPN expuestos. Los atacantes acceden mediante credenciales filtradas, registros de infostealers, credential stuffing y password spraying.

Una vez dentro, extraen datos adicionales de autenticación y emplean un clúster distribuido de GPU con Hashcat y Hashtopolis para descifrar offline los hashes de contraseñas robados. El FBI indicó que esta cadena de ataque se ha observado como punto de entrada inicial para afiliados de ransomware, incluidos INC/Lynx ransomware y Payload ransomware.

En algunos incidentes, los actores crean cuentas de administrador y utilizan sus privilegios para eliminar cuentas existentes o cambiar sus contraseñas, impidiendo el acceso de los administradores legítimos. Después establecen persistencia e intentan desplazarse lateralmente por el entorno.

La exposición accidental de un servidor backend permitió conocer el uso de scripts automatizados para escanear portales SSL VPN de FortiGate, validar credenciales, descartar honeypots, identificar organizaciones y priorizar objetivos según sus ingresos y estructura de red. También reveló configuraciones VPN operativas y listas de objetivos, lo que apunta a la comercialización de accesos comprometidos.

El FBI señaló que la respuesta puede requerir más que aplicar parches y restablecer las contraseñas de Fortinet. Entre sus recomendaciones figuran restringir el acceso externo, finalizar todas las sesiones VPN activas, imponer MFA y revisar los registros en busca de cambios no autorizados y actividad sospechosa. También aconseja utilizar PBKDF2 para almacenar las contraseñas de administrador, en lugar de los hashes SHA-256 heredados, que pueden descifrarse offline de forma práctica.

La información procede del FBI, según recoge BleepingComputer.

Fuente: BleepingComputer