- Atacatorii FortiBleed colaborează cu gangurile INC și Lynx pentru a monetiza accesul la mii de firewall-uri Fortinet compromise.
Grupul de atacatori cunoscut sub numele de FortiBleed, care a reușit să compromită mii de firewall-uri Fortinet la nivel global, colaborează acum cu două dintre cele mai active ganguri de ransomware: INC și Lynx. Potrivit cercetătorilor în securitate, după ce au obținut acces inițial, aceștia încep să monetizeze breșa, exploatând inclusiv o vulnerabilitate zero-day în platforma Nextcloud.
Ce este FortiBleed și cum a reușit să compromită atâtea dispozitive
FortiBleed nu este un grup de ransomware propriu-zis, ci o rețea de brokeri de acces inițial (initial access brokers). Aceștia au exploatat vulnerabilități cunoscute în dispozitivele Fortinet, precum CVE-2024-21762 și CVE-2023-27997, pentru a pătrunde în rețele. Odată instalate backdoor-uri, ei vând accesul către alte grupuri malitioase. În cazul de față, parteneriatul cu INC și Lynx indică o escaladare a amenințării: accesul devine o poartă pentru atacuri ransomware complete.
Colaborarea cu gangurile INC și Lynx
INC Ransomware și Lynx sunt cunoscute pentru operațiunile agresive de dublă extorcare (furt de date + criptare). Potrivit rapoartelor, actorii FortiBleed nu doar că vând accesul, dar oferă și suport tehnic pentru a facilita desfășurarea ransomware-ului. În plus, ei au început să exploateze o vulnerabilitate zero-day în Nextcloud, un software popular de partajare de fișiere. Acest lucru le permite să obțină și mai mult acces sau să exfiltreze date suplimentare.
Implicațiile pentru securitatea cibernetică
Utilizarea unor vulnerabilități zero-day alături de accesul deja obținut reprezintă o amenințare semnificativă. Organizațiile care folosesc firewall-uri Fortinet (model FortiGate) sau Nextcloud trebuie să fie vigilente. Cercetătorii recomandă actualizarea imediată a firmware-ului, aplicarea de patch-uri și monitorizarea traficului pentru semne de compromitere. De asemenea, se sugerează schimbarea parolelor și revizuirea permisiunilor de acces.
Ce inseamnă pentru tine
Dacă administrezi o rețea care folosește FortiGate sau Nextcloud, este esențial să verifici dacă dispozitivele sunt la zi cu patch-urile. Vulnerabilitatea zero-day din Nextcloud nu are încă un patch oficial, așa că trebuie să iei măsuri compensatorii: limitează expunerea la internet, activează autentificarea multifactor și izolează serverele critice. În plus, fii atent la semnele unei breșe: trafic neobișnuit, conexiuni către IP-uri necunoscute sau apariția de fișiere criptate. O reacție rapidă poate face diferența între o compromitere limitată și un atac ransomware devastator.