FBI alerta que ataques FortiBleed contra firewalls Fortinet continuam
As campanhas conhecidas como FortiBleed seguem atingindo organizações que utilizam firewalls Fortinet. Em alerta divulgado nesta terça-feira, o FBI informou que os invasores exploram dispositivos expostos à internet e, em determinadas situações, removem contas legítimas para impedir que os responsáveis pela rede recuperem o controle do equipamento.
O primeiro alvo costuma ser o portal de VPN SSL acessível publicamente. Depois de localizar esses pontos de entrada, os criminosos tentam autenticar-se com credenciais obtidas em ataques anteriores ou capturadas por programas do tipo infostealer, que roubam senhas armazenadas nos dispositivos das vítimas.
Entre as técnicas usadas estão o credential stuffing e o password spraying. Na primeira, os atacantes testam combinações de usuário e senha vazadas em outros incidentes, apostando que foram reutilizadas. Na segunda, experimentam senhas comuns contra várias contas, alternando as tentativas para reduzir o risco de bloqueio e dificultar a detecção. As conexões podem partir de diferentes endereços IP, o que também torna mais difícil reconhecer a atividade como uma única campanha.
Quando conseguem entrar no firewall, os invasores podem copiar bancos de dados de usuários do FortiOS e obter tokens de sessão. Esses dados servem para buscar outras credenciais e ampliar o acesso. Conforme o FBI, hashes de senha roubados são submetidos a tentativas de quebra. As informações recuperadas podem ser organizadas para descartar honeypots – sistemas usados como isca para identificar invasores – e selecionar alvos considerados mais valiosos, levando em conta fatores como receita e estrutura da rede.
Os criminosos também podem cadastrar novas contas administrativas no equipamento. Essa medida permite manter o acesso mesmo que senhas de usuários legítimos sejam alteradas. Em alguns incidentes, os invasores apagaram contas existentes, deixando as equipes de TI sem acesso ao firewall enquanto tentavam avançar para outros sistemas da organização.
A dimensão do problema veio à tona em junho, quando foi noticiado que credenciais de aproximadamente 74 mil firewalls e gateways VPN da Fortinet estavam nas mãos de criminosos e eram oferecidas para venda. Os dados teriam sido obtidos no contexto dos ataques FortiBleed. Embora as informações sobre a campanha tenham se tornado públicas naquele mês, o alerta do FBI indica que as investidas não cessaram.
Para reduzir o risco, a agência recomenda revisar todas as contas associadas aos dispositivos Fortinet e verificar se há usuários desconhecidos ou criados recentemente. Também orienta encerrar sessões administrativas e de VPN, redefinir credenciais e reforçar a proteção do acesso de administração.
A revisão deve incluir não apenas os nomes de usuário, mas também permissões, horários de criação, registros de autenticação e alterações recentes na configuração. Contas com privilégios elevados que não tenham uma justificativa operacional clara merecem atenção imediata. Caso uma conta suspeita seja encontrada, é importante registrar as evidências antes de removê-la, sempre que isso puder ser feito sem prolongar uma invasão ativa.
As empresas também devem trocar senhas potencialmente expostas por combinações fortes e exclusivas, especialmente quando as mesmas credenciais eram usadas em outros serviços. Sempre que disponível, a autenticação multifator deve ser habilitada para VPN e administração. Ela não substitui a atualização do equipamento nem elimina todos os riscos, mas pode dificultar o uso de uma senha roubada como único meio de entrada.
Outro passo importante é restringir o acesso administrativo. Sempre que possível, a interface de gestão deve ficar disponível apenas por redes confiáveis, como uma rede interna ou uma VPN corporativa controlada, em vez de permanecer aberta à internet. A organização também deve manter o firmware atualizado, acompanhar as recomendações de segurança do fabricante e desativar serviços e contas que não sejam necessários.
Os registros do firewall podem ajudar a identificar acessos vindos de locais incomuns, sucessivas tentativas de login, uso inesperado de contas privilegiadas e encerramentos anormais de sessões. Como os ataques podem se distribuir por vários endereços IP, monitorar apenas uma origem conhecida não é suficiente. Correlações entre eventos de autenticação, mudanças de configuração e atividade na rede oferecem uma visão mais completa.
Se houver indícios de comprometimento, a organização deve tratar o firewall como um possível ponto de entrada para toda a rede. Isso envolve investigar dispositivos e contas que possam ter sido acessados a partir dele, revogar sessões e credenciais suspeitas, preservar registros para análise e avaliar se é necessário isolar o equipamento. A recuperação não deve se limitar à troca de uma senha: é preciso confirmar que não foram criadas contas adicionais nem alteradas regras de acesso.
Como os invasores podem remover usuários legítimos e tentar ampliar a intrusão, ter um procedimento de resposta previamente definido é essencial. A equipe responsável deve saber como recuperar a administração do dispositivo, quem precisa ser comunicado e quais sistemas devem ser verificados primeiro. Uma resposta rápida, combinada com controles de acesso mais restritos e monitoramento contínuo, reduz as chances de que o comprometimento do firewall se transforme em um incidente mais amplo.