俄罗斯FortiBleed行动窃取1.1亿凭证，43万台设备沦陷
FreeBuf
2026年6月23日 20:00
上海
在小说阅读器读本章
去阅读
Part01
攻击概况
FortiBleed行动已针对43万台以上FortiGate设备发起攻击，窃取1.1亿组凭证，通过大规模凭证窃取实施入侵。SOCRadar威胁研究团队（STRU）发布的最新威胁情报报告首次完整揭露了这场可能成为2026年最具破坏性的凭证窃取行动。该团队是最早发现并命名FortiBleed行动的研究组织。
Part02
行动技术剖析
攻击链五阶段全还原
报告技术细节完整呈现了攻击全流程：
-
侦察阶段：攻击者使用Masscan进行端口扫描，配合定制化Shodan\_Recon工具进行被动信息收集，并通过专用FortiProbe-fast二进制程序从上百万扫描结果中筛选确认的FortiGate设备。
-
目标筛选：根据企业营收对目标分级，体现精确运营规划而非随机攻击。
-
初始入侵：通过16个针对FortiGate管理员账户命名规范定制的字典进行SSH暴力破解，同时针对SSL-VPN门户实施凭证填充攻击。
-
核心窃密：使用基于Golang的FortigateSniffer工具，滥用合法FortiOS诊断命令diagnose sniffer packet被动捕获24种协议认证流量（包括Kerberos、RADIUS、NTLM等），全程无需部署恶意软件。
-
横向移动：在至少一起已确认案例中，攻击者在离线破解Kerberos哈希数分钟后，即从北约盟国防务承包商处定向窃取DFS备份数据。
基础设施架构
攻击者使用东欧松散监管的微型主机服务商网络，核心基础设施划分为四个功能子网：C2聚合、凭证验证、嗅探器部署和代理轮换。测试环境运行7台QEMU/KVM架构的Kali Linux虚拟机，配置严格IPTables规则，支持多操作员通过共享tmux会话远程访问。
Part03
攻击特征与归因
- 工具特征：西里尔字母注释指向俄罗斯背景
- 攻击模式：符合向勒索软件团伙出售初始访问权限的中间商特征，但针对北约盟国防务承包商的行为暗示可能存在国家背景行为体的机会性合作
- 受害者分布：66%为员工不足200人的中小企业，90%年营收低于1亿美元。印度、美国和台湾地区受影响域名占比近1/3，IT服务行业为主要目标
Part04
防护建议
STRU建议相关组织立即：
- 轮换所有Fortinet VPN及管理接口凭证
- 强制启用多因素认证
- 将FortiGate管理接口与互联网隔离
- 审查认证日志异常活动
SOCRadar已发布免费检测工具：socradar.io/free-tools/fortibleed。完整技术报告（含MITRE ATT&CK映射、IoC列表）详见socradar.io。该攻击活动仍在持续进行。
参考来源：
FortiBleed: The Most Detailed Breakdown Yet of an Active Russian Credential-Harvesting Operation
https://securityaffairs.com/194004/hacking/fortibleed-the-most-detailed-breakdown-yet-of-an-active-russian-credential-harvesting-operation.html
推荐阅读
电报讨论
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论