FBI แจ้งเตือนการโจมตีแคมเปญ FortiBleed ที่ทำให้ผู้ดูแลระบบไม่สามารถเข้าถึง FortiGate VPN ได้

FBI ได้ออกมาแจ้งเตือนว่ายังพบการโจมตีแคมเปญ FortiBleed อย่างต่อเนื่อง โดยมุ่งเป้าหมายไปที่อุปกรณ์ Fortinet FortiGate Firewall และ SSL VPN Gateway ที่เปิดให้เข้าถึงได้จากอินเทอร์เน็ต และส่งผลให้ผู้ดูแลระบบไม่สามารถเข้าใช้งานระบบได้

ทั้งนี้ Hacker เข้าถึงอุปกรณ์เป้าหมายเหล่านี้โดยใช้ข้อมูล Login ที่รั่วไหลมาก่อนหน้านี้ หรือข้อมูลที่ได้จากบันทึกของมัลแวร์ infostealer รวมถึงการโจมตีแบบ Credential Stuffing และ Password Spraying

จากนั้น Hacker จะดึงข้อมูลการยืนยันตัวตนเพิ่มเติมจากอุปกรณ์ที่ถูกโจมตี และใช้ระบบประมวลผลแบบกระจายศูนย์ที่ใช้ GPU ร่วมกับซอฟต์แวร์ Hashcat และ Hashtopolis เพื่อ crack ค่า hash ของรหัสผ่านที่ขโมยมา

ข้อมูลจาก FBI ระบุว่า "พบว่ากระบวนการโจมตีแบบ FortiBleed ถูกใช้เป็นช่องทางเริ่มต้นในการเข้าสู่ระบบสำหรับกลุ่ม Ransomware โดยกลุ่มที่ใช้แคมเปญนี้ในการโจมตี ได้แก่ INC/Lynx ransomware และ Payload ransomware"

เหตุการณ์ข้อมูลรั่วไหลที่ส่งผลกระทบต่อเนื่อง

FortiBleed คือเหตุการณ์ข้อมูล Login ของ Fortinet รั่วไหลครั้งใหญ่ที่ถูกค้นพบในเดือนมิถุนายน 2026 เมื่อ Hacker เปิดเผยเซิร์ฟเวอร์ที่มีชื่อผู้ใช้ และรหัสผ่านแบบ plaintext ของ URL อุปกรณ์ไฟร์วอลล์จำนวน 73,932 รายการ ครอบคลุม 194 ประเทศโดยไม่ตั้งใจ

ข้อมูลดังกล่าวเผยให้เห็นถึงปฏิบัติการรวบรวมข้อมูล Login ขนาดใหญ่ แม้ในขณะนั้นจะยังไม่มีความชัดเจนว่าใช้วิธีการใดในการได้มาซึ่งข้อมูลการตั้งค่าระบบเหล่านั้น

ในเดือนกรกฎาคม 2026 ทาง SOCRadar ได้เชื่อมโยง FortiBleed เข้ากับปฏิบัติการของกลุ่ม INC และ Lynx ransomware หลังจากสามารถเข้าถึงหน้าต่างการเจรจาเรียกค่าไถ่ของทั้งสองกลุ่มบนเซิร์ฟเวอร์ที่ใช้ในแคมเปญโจมตีนี้ได้

จากการนับจำนวนล่าสุดของ SOCRadar พบว่าเหตุการณ์ FortiBleed ส่งผลกระทบต่ออุปกรณ์จำนวน 86,644 เครื่อง

FBI ระบุว่า ในบางกรณี Hacker จะสร้างบัญชีผู้ดูแลระบบขึ้นมาใหม่ และใช้สิทธิ์ดังกล่าวเพื่อลบบัญชีผู้ดูแลระบบเดิมทิ้ง หรือเปลี่ยนรหัสผ่าน ทำให้เหยื่อไม่สามารถเข้าถึงอุปกรณ์ของตนเองได้

จากนั้น Hacker จะสร้างช่องทางการแฝงตัว (persistence) เพื่อคงการเข้าถึงระบบไว้ และพยายามโจมตีต่อไปยังระบบอื่น ๆ ภายในเครือข่าย

รายละเอียดเกี่ยวกับปฏิบัติการนี้ถูกเปิดเผยหลังจากที่ Hacker ทำ backend server หลุดออกมาสู่สาธารณะโดยไม่ตั้งใจ ทำให้พบโฟลเดอร์ที่เก็บเครื่องมือ และชุดข้อมูลต่าง ๆ

ข้อมูลดังกล่าวแสดงให้เห็นถึงการใช้ automated scripts เพื่อสแกนหา  FortiGate SSL VPN portals ที่ให้เข้าถึงได้จากอินเทอร์เน็ต, ระบบถอดรหัสผ่านแบบกระจายศูนย์ที่ใช้ GPU และ scripts สำหรับตรวจสอบความถูกต้องของข้อมูล Login, การคัดกรองระบบ honeypots, การระบุชื่อองค์กร, รวมถึงการจัดลำดับความสำคัญของเป้าหมายโดยพิจารณาจากรายได้ และโครงสร้างเครือข่าย

นอกจากนี้ การเปิดเผยข้อมูลยังแสดงให้เห็นถึงการตั้งค่า VPN ที่ใช้งานได้ และรายชื่อเป้าหมาย ซึ่งแสดงให้เห็นว่า Hacker กำลังนำการเข้าถึงระบบ  FortiGate SSL VPN ที่โจมตีสำเร็จออกมาขาย

FBI เตือนว่า การแก้ไขอาจต้องใช้มากกว่าการแพตซ์ และการรีเซ็ตรหัสผ่านของ Fortinet โดยแนะนำให้จำกัดการเข้าถึงจากภายนอก, Terminate VPN ที่ใช้งานอยู่ทั้งหมด, บังคับใช้ MFA และตรวจสอบ Log เพื่อหาการเปลี่ยนแปลงที่ไม่ได้รับอนุญาต และกิจกรรมที่น่าสงสัย

FBI ยังแนะนำให้บังคับใช้ PBKDF2 สำหรับการจัดเก็บรหัสผ่านผู้ดูแลระบบ ซึ่งมีความแข็งแกร่งกว่า SHA-256 hash แบบเดิมที่ Hacker สามารถถอดรหัสได้ในทางปฏิบัติแบบออฟไลน์

ที่มา : bleepingcomputer.com