FBI ได้ออกมาแจ้งเตือนว่ายังพบการโจมตีแคมเปญ FortiBleed อย่างต่อเนื่อง โดยมุ่งเป้าหมายไปที่อุปกรณ์ Fortinet FortiGate Firewall และ SSL VPN Gateway ที่เปิดให้เข้าถึงได้จากอินเทอร์เน็ต และส่งผลให้ผู้ดูแลระบบไม่สามารถเข้าใช้งานระบบได้

ทั้งนี้ Hacker เข้าถึงอุปกรณ์เป้าหมายเหล่านี้โดยใช้ข้อมูล Login ที่รั่วไหลมาก่อนหน้านี้ หรือข้อมูลที่ได้จากบันทึกของมัลแวร์ infostealer รวมถึงการโจมตีแบบ Credential Stuffing และ Password Spraying

จากนั้น Hacker จะดึงข้อมูลการยืนยันตัวตนเพิ่มเติมจากอุปกรณ์ที่ถูกโจมตี และใช้ระบบประมวลผลแบบกระจายศูนย์ที่ใช้ GPU ร่วมกับซอฟต์แวร์ Hashcat และ Hashtopolis เพื่อ crack ค่า hash ของรหัสผ่านที่ขโมยมา

ข้อมูลจาก FBI ระบุว่า "พบว่ากระบวนการโจมตีแบบ FortiBleed ถูกใช้เป็นช่องทางเริ่มต้นในการเข้าสู่ระบบสำหรับกลุ่ม Ransomware โดยกลุ่มที่ใช้แคมเปญนี้ในการโจมตี ได้แก่ INC/Lynx ransomware และ Payload ransomware"

เหตุการณ์ข้อมูลรั่วไหลที่ส่งผลกระทบต่อเนื่อง

FortiBleed คือเหตุการณ์ข้อมูล Login ของ Fortinet รั่วไหลครั้งใหญ่ที่ถูกค้นพบในเดือนมิถุนายน 2026 เมื่อ Hacker เปิดเผยเซิร์ฟเวอร์ที่มีชื่อผู้ใช้ และรหัสผ่านแบบ plaintext ของ URL อุปกรณ์ไฟร์วอลล์จำนวน 73,932 รายการ ครอบคลุม 194 ประเทศโดยไม่ตั้งใจ

ข้อมูลดังกล่าวเผยให้เห็นถึงปฏิบัติการรวบรวมข้อมูล Login ขนาดใหญ่ แม้ในขณะนั้นจะยังไม่มีความชัดเจนว่าใช้วิธีการใดในการได้มาซึ่งข้อมูลการตั้งค่าระบบเหล่านั้น

ในเดือนกรกฎาคม 2026 ทาง SOCRadar ได้เชื่อมโยง FortiBleed เข้ากับปฏิบัติการของกลุ่ม INC และ Lynx ransomware หลังจากสามารถเข้าถึงหน้าต่างการเจรจาเรียกค่าไถ่ของทั้งสองกลุ่มบนเซิร์ฟเวอร์ที่ใช้ในแคมเปญโจมตีนี้ได้

จากการนับจำนวนล่าสุดของ SOCRadar พบว่าเหตุการณ์ FortiBleed ส่งผลกระทบต่ออุปกรณ์จำนวน 86,644 เครื่อง

FBI ระบุว่า ในบางกรณี Hacker จะสร้างบัญชีผู้ดูแลระบบขึ้นมาใหม่ และใช้สิทธิ์ดังกล่าวเพื่อลบบัญชีผู้ดูแลระบบเดิมทิ้ง หรือเปลี่ยนรหัสผ่าน ทำให้เหยื่อไม่สามารถเข้าถึงอุปกรณ์ของตนเองได้

จากนั้น Hacker จะสร้างช่องทางการแฝงตัว (persistence) เพื่อคงการเข้าถึงระบบไว้ และพยายามโจมตีต่อไปยังระบบอื่น ๆ ภายในเครือข่าย

รายละเอียดเกี่ยวกับปฏิบัติการนี้ถูกเปิดเผยหลังจากที่ Hacker ทำ backend server หลุดออกมาสู่สาธารณะโดยไม่ตั้งใจ ทำให้พบโฟลเดอร์ที่เก็บเครื่องมือ และชุดข้อมูลต่าง ๆ

ข้อมูลดังกล่าวแสดงให้เห็นถึงการใช้ automated scripts เพื่อสแกนหา  FortiGate SSL VPN portals ที่ให้เข้าถึงได้จากอินเทอร์เน็ต, ระบบถอดรหัสผ่านแบบกระจายศูนย์ที่ใช้ GPU และ scripts สำหรับตรวจสอบความถูกต้องของข้อมูล Login, การคัดกรองระบบ honeypots, การระบุชื่อองค์กร, รวมถึงการจัดลำดับความสำคัญของเป้าหมายโดยพิจารณาจากรายได้ และโครงสร้างเครือข่าย

นอกจากนี้ การเปิดเผยข้อมูลยังแสดงให้เห็นถึงการตั้งค่า VPN ที่ใช้งานได้ และรายชื่อเป้าหมาย ซึ่งแสดงให้เห็นว่า Hacker กำลังนำการเข้าถึงระบบ  FortiGate SSL VPN ที่โจมตีสำเร็จออกมาขาย

FBI เตือนว่า การแก้ไขอาจต้องใช้มากกว่าการแพตซ์ และการรีเซ็ตรหัสผ่านของ Fortinet โดยแนะนำให้จำกัดการเข้าถึงจากภายนอก, Terminate VPN ที่ใช้งานอยู่ทั้งหมด, บังคับใช้ MFA และตรวจสอบ Log เพื่อหาการเปลี่ยนแปลงที่ไม่ได้รับอนุญาต และกิจกรรมที่น่าสงสัย

FBI ยังแนะนำให้บังคับใช้ PBKDF2 สำหรับการจัดเก็บรหัสผ่านผู้ดูแลระบบ ซึ่งมีความแข็งแกร่งกว่า SHA-256 hash แบบเดิมที่ Hacker สามารถถอดรหัสได้ในทางปฏิบัติแบบออฟไลน์

ที่มา : bleepingcomputer.

Jens Steube ผู้พัฒนาโอเพนซอร์ส "Hashcat" พบเทคนิคใหม่ในการแคร็กรหัสผ่านจาก Pairwise Master Key Identifier (PMKID) ของวิธีการเข้ารหัสแบบ WPA และ WPA2 ของเครือข่าย Wireless ซึ่งเทคนิคที่พบนี้เป็นเทคนิคที่พบโดยบังเอิญในขณะที่กำลังมองหาวิธีการใหม่ในการโจมตีมาตรฐานความปลอดภัยใหม่อย่าง WPA3

ไอเดียหลักของการเทคนิคนี้นั้นอยู่ที่การดักจับข้อมูลเพื่อให้ได้มาซึ่งส่วนที่เรียกว่า PMKID ซึ่งสามารถถูกดึงมาได้จากจากส่วนที่ถูกเรียกว่า RSN IE ใน EAPOL frame เมื่อได้ PMKID มาแล้ว ผู้โจมตีสามารถใน PMKID มาทำการ brute force ด้วยโปรแกรมซึ่งทำให้เวลาในการคาดเดารหัสผ่านนั้นลดลงไปได้เป็นจำนวนมากเมื่อเปรียบเทียบวิธีการก่อนหน้าที่ผู้โจมตีจำเป็นต้องมีข้อมูลหลายจำพวกก่อนที่จะเริ่มทำการเดารหัสผ่าน

อย่างไรก็ตามการโจมตี WPA3 นั้นจะยากกว่า WPA และ WPA2 เนื่องจาก WPA3 มีการเรียกใช้โปรโตคอลที่ดีขึ้นอย่าง Simultaneous Authentication of Equals (SAE) โดยสำหรับ WPA3 ได้รับการรับรองจาก Wi-Fi Alliance แล้วเมื่อช่วงเดือนมิถุนายนที่ผ่านมา และน่าจะมีการปรากฎบนอุปกรณ์โดยทั่วไปภายในปีนี้

ที่มา : theregister