La collecte d’identifiants FortiBleed liée aux activités des ransomwares INC et Lynx

Une opération de vol d’identifiants récemment identifiée sous le nom de FortiBleed est désormais liée aux écosystèmes de ransomwares INC et Lynx, ce qui laisse penser que les accès dérobés servaient à faciliter des intrusions ultérieures. Selon un rapport de SOCRadar, un opérateur associé à l’infrastructure backend de FortiBleed a été vu en train de gérer les portails de négociation des deux groupes de ransomware, établissant ce que l’entreprise décrit comme le premier lien direct entre une collecte d’identifiants FortiGate à grande échelle et le déploiement de ransomwares.

SOCRadar a indiqué que la campagne impliquait le balayage d’environ 11 250 portails FortiGate à l’échelle mondiale, dans plus de 150 pays. Dans le cadre de son analyse, l’entreprise a confirmé l’existence d’un accès de niveau administrateur sur 409 systèmes et a trouvé des preuves indiquant que la chaîne d’attaque complète avait été exécutée sur 354 d’entre eux. Au moins 12 incidents liés à des ransomwares semblent avoir suivi, avec des centaines de terminaux chiffrés au sein des organisations touchées.

Fonctionnement de la campagne

L’activité a été découverte après une erreur opérationnelle des attaquants, qui ont laissé un serveur exposé sur Internet. Ce système contenait apparemment des identifiants dérobés à des milliers d’équipements Fortinet. SOCRadar estime que la campagne ciblait environ 430 000 pare-feu FortiGate dans le monde et avait collecté plus de 110 millions d’identifiants. L’entreprise pense également qu’un renifleur personnalisé basé sur Golang a été déployé sur environ 12 000 appareils afin de capturer les données d’authentification présentes dans le trafic réseau.

Les chercheurs ont indiqué que le serveur exposé faisait partie de l’environnement interne de coordination des attaquants et contenait des listes de cibles, des données collectées, des scripts et d’autres fichiers opérationnels. Au vu des outils utilisés, des schémas de journalisation et des horaires de travail, le groupe serait russophone et pourrait opérer comme courtier en accès initial. Le ciblage s’est principalement concentré sur des organisations des secteurs de la fabrication, des technologies et de la logistique en Amérique latine et dans la région Asie-Pacifique.

Élargissement du ciblage et menaces connexes

SOCRadar a également indiqué avoir trouvé des signes laissant penser que l’opération pourrait dépasser le cadre des équipements Fortinet. Les documents internes comprenaient des artefacts liés à Citrix ainsi qu’une liste de cibles d’environ 29 000 adresses IP et 37 domaines associés à des environnements Citrix. Bien que cela ne prouve pas l’existence d’une collecte massive visant les produits Citrix, les chercheurs estiment que ces éléments montrent une préparation claire en vue d’un ciblage plus large.

L’entreprise a ajouté que les attaquants pourraient également disposer d’une vulnérabilité zero-day dans Nextcloud et qu’elle se coordonne avec l’éditeur. Dans un développement distinct, eSentire a signalé l’exploitation active d’une vulnérabilité de Fortinet FortiClient EMS, suivie sous la référence CVE-2026-35616, afin de diffuser EKZ Stealer et de collecter les identifiants stockés dans les navigateurs d’une victime du secteur de l’énergie.