Il furto di credenziali FortiBleed collegato alle attività ransomware di INC e Lynx

Un’operazione di recente identificazione per il furto di credenziali, nota come FortiBleed, è stata ora collegata agli ecosistemi ransomware INC e Lynx, suggerendo che gli accessi sottratti venissero utilizzati per supportare intrusioni in fasi successive. Secondo un report di SOCRadar, un operatore collegato al backend di FortiBleed è stato visto gestire i portali di negoziazione di entrambi i gruppi ransomware, creando quella che l’azienda descrive come la prima connessione diretta tra il furto di credenziali FortiGate su larga scala e la distribuzione di ransomware.

SOCRadar ha dichiarato che la campagna ha comportato la scansione su scala globale di circa 11.250 portali FortiGate in oltre 150 Paesi. Nella sua analisi, l’azienda ha rilevato accessi confermati a livello amministratore su 409 sistemi e prove del completamento dell’intera catena d’attacco su 354 di essi. Sembra che siano seguiti almeno 12 incidenti ransomware, con centinaia di endpoint crittografati nelle organizzazioni colpite.

Come ha funzionato la campagna

L’attività è emersa dopo che gli aggressori hanno commesso un errore operativo, lasciando un server esposto su Internet. Secondo quanto riferito, il sistema conteneva credenziali sottratte da migliaia di appliance Fortinet. SOCRadar stima che la campagna abbia preso di mira circa 430.000 firewall FortiGate in tutto il mondo e raccolto oltre 110 milioni di credenziali. L’azienda ritiene inoltre che uno sniffer personalizzato basato su Golang sia stato distribuito su circa 12.000 dispositivi per acquisire dati di autenticazione dal traffico di rete.

I ricercatori hanno affermato che il server esposto faceva parte dell’ambiente interno di coordinamento degli aggressori e conteneva elenchi di obiettivi, dati sottratti, script e altri file operativi. Sulla base degli strumenti, dei modelli di logging e degli orari di attività, si ritiene che il gruppo sia russofono e che possa operare come broker di accessi iniziali. Le attività di targeting si sono concentrate soprattutto su organizzazioni dei settori manifatturiero, tecnologico e logistico in America Latina e nell’area Asia-Pacifico.

Targeting più ampio e minacce correlate

SOCRadar ha inoltre dichiarato di aver trovato segnali che l’operazione potrebbe estendersi oltre l’hardware Fortinet. Il materiale interno includeva artefatti correlati a Citrix e un elenco di obiettivi composto da circa 29.000 indirizzi IP e 37 domini collegati ad ambienti Citrix. Sebbene ciò non dimostri un’attività di raccolta su larga scala contro i prodotti Citrix, i ricercatori hanno affermato che evidenzia una chiara preparazione a un targeting più ampio.

L’azienda ha aggiunto che gli aggressori potrebbero essere in possesso anche di una vulnerabilità zero-day in Nextcloud e che sta coordinandosi con il fornitore. In uno sviluppo separato, eSentire ha segnalato lo sfruttamento attivo di una vulnerabilità di Fortinet FortiClient EMS, tracciata come CVE-2026-35616, per distribuire EKZ Stealer e raccogliere credenziali memorizzate nei browser da una vittima del settore energetico.