L’FBI et le Secret Service avertissent que la campagne FortiBleed reste active contre les pare-feu Fortinet

Le Federal Bureau of Investigation (FBI) et le Secret Service (USSS) des États-Unis ont émis un avertissement conjoint indiquant que la campagne de collecte d'identifiants FortiBleed demeure une menace active ciblant les pare-feu FortiGate de Fortinet et les passerelles VPN SSL accessibles sur Internet. Selon les agences, les cyberacteurs continuent d'exploiter des identifiants fuités et le stockage de mots de passe hérité en SHA-256 pour analyser et compromettre massivement des équipements de sécurité exposés.

Un modèle de collecte d'identifiants en cinq étapes

Documentée pour la première fois en juin 2026 par SOCRadar et Hudson Rock, l'opération russophone avait accumulé plus de 86 644 identifiants de dispositifs valides dans 194 pays à la mi-juin 2026. La campagne s'appuie sur un processus d'intrusion en cinq étapes, débutant par un balayage à grande échelle pour repérer les portails exposés. Les attaquants procèdent à du credential stuffing et du password spraying en utilisant des données issues de fuites antérieures et de journaux d'infostealers.

Une fois l'accès initial établi, les opérateurs déploient un outil personnalisé développé en Go, nommé FortigateSniffer, afin d'intercepter passivement le trafic d'authentification à travers 24 protocoles réseau distincts, récoltant ainsi d'autres noms d'utilisateurs et hachages de mots de passe.

Cassage hors ligne et intrusion réseau approfondie

Les hachages interceptés sont transmis à des grappes de calcul accélérées par GPU exécutant Hashmat et Hashtopolis. Des scripts automatisés filtrent ensuite les pots de miel (honeypots) et classent les organisations cibles en fonction de leurs revenus et de la structure de leur infrastructure. Une fois vérifiés, ces identifiants permettent aux attaquants d'effectuer une énumération d'Active Directory, une validation Kerberos, une authentification SMB et l'exfiltration de fichiers sensibles à partir de partages réseau.

Usurpation de compte et liens avec le rançongiciel

Pour maintenir un accès à long terme, les cyberacteurs créent des comptes d'administration non autorisés sur les pare-feu compromis, en utilisant des identifiants tels que adminin, fortiAdmin, fgtsecure ou forticloud-sync. Les autorités fédérales ont noté que les attaquants modifient ou suppriment fréquemment les comptes administratifs légitimes, verrouillant l'accès des organisations à leur propre matériel. Selon les renseignements de sécurité, l'opération fonctionnerait comme un courtier d'accès initial (initial access broker), des chevauchements observés liant les accès volés à des groupes de rançongiciels comme INC et Lynx.

Mesures d'atténuation et conseils de sécurité

La Cybersecurity and Infrastructure Security Agency (CISA) et ses partenaires fédéraux conseillent aux administrateurs d'équipements FortiGate d'adopter le hachage PBKDF2 pour le stockage des identifiants et de rendre obligatoire l'authentification résistante au hameçonnage. Les organisations doivent mettre fin aux sessions VPN SSL et d'administration actives, réinitialiser les mots de passe administratifs et auditer les comptes afin de repérer tout ajout non autorisé. Si une intrusion est détectée, les appareils touchés doivent être isolés pendant que les journaux criminalistiques sont recueillis pour l'enquête des forces de l'ordre.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: FBI Warns FortiBleed Remains Active After Amassing 86,644 Fortinet Device Credentials