FortiBleed-kampanja yhdistetty INC- ja Lynx-kiristyshaittaohjelmaryhmiin

Massiivinen kirjautumistietojen keräysoperaatio, joka kohdistui satoihin tuhansiin Fortinet ↗ 4.05% -palomuureihin ympäri maailmaa, on yhdistetty suoraan kahteen kiristyshaittaohjelmaryhmään, INC Ransom ja Lynx, kertoo kyberturvallisuusyhtiö SOCRadarin keskiviikkona julkaisema uusi tutkimus.

Havainnot paljastavat, että FortiBleed — kampanja, joka paljastui kesäkuun 2026 puolivälissä, kun operatiivinen turvallisuusvirhe jätti varastettujen kirjautumistietojen palvelimen julkisesti saataville — ei ollut vain pääsynvälityssuunnitelma, vaan putki, joka ruokki aktiivisia kiristyshaittaohjelmaoperaatioita.

Kirjautumistietojen varkaudesta kiristyshaittaohjelmiin

SOCRadarin uhkatutkimusyksikkö raportoi, että FortiBleedin infrastruktuuriin yhdistetty operaattori löytyi kirjautuneena sekä INC Ransom- että Lynx-neuvottelupaneeleihin, ja INC Ransom -ryhmän listaamat uhrit olivat päällekkäisiä kampanjan tietojen kanssa. Tutkijat seurasivat skannaustoimintaa noin 11 250 FortiGate-portaalissa yli 150 maassa, mitä seurasi vahvistettu järjestelmänvalvojatason pääsy 409 kohteeseen ja 354 organisaation täydellinen vaarantuminen. Tästä pääsystä seurasi vähintään 12 kiristyshaittaohjelman levitystä, jotka salakirjoittivat satoja päätepisteitä kyseisissä organisaatioissa.thehackernews+1

Operaatio kohdistui yli 430 000 FortiGate-palomuuriin maailmanlaajuisesti, keräten yli 110 miljoonaa kirjautumistietoa mukautetuilla pakettien haistamistyökaluilla, jotka oli otettu käyttöön vaarantuneissa laitteissa. SOCRadar tunnisti yli 200 operatiivista palvelinta alkuperäisten lisäksi ja löysi todisteita siitä, että ryhmä koostuu noin 20 jäsenestä, joilla on määritellyt roolit.bleepingcomputer+2

Venäjänkielinen operaatio

Työkalut, lokit ja työajat osoittavat, että toiminta on venäjänkielisen uhkatoimijan työtä, joka toimii alkuperäisen pääsyn välittäjänä, SOCRadar kertoo. Kohdentaminen on keskittynyt valmistus-, teknologia- ja logistiikkasektoreille Latinalaisessa Amerikassa ja Aasian ja Tyynenmeren alueella.securityweek+1

Kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto oli aiemmin kehottanut organisaatioita nollaamaan kaikki järjestelmänvalvojan ja VPN-tunnukset, ottamaan käyttöön monivaiheisen todennuksen ja rajoittamaan hallintaliittymiä sen jälkeen, kun vaarantumisen laajuus selvisi kesäkuun puolivälissä.cybersecuritydive+1

Laajenevat kohteet

SOCRadar havaitsi myös, että hyökkääjillä on vähintään yksi nollapäivähaavoittuvuus Nextcloudissa ja he ovat koonneet kohdelistoja, jotka sisältävät noin 29 000 Citrix-ympäristöihin liittyvää IP-osoitetta, mikä viittaa siihen, että operaatio voi laajentua Fortinet-laitteiden ulkopuolelle. Tutkijat uskovat Lynxin olevan INC Ransom -ryhmän uudelleenbrändäys, joka on toiminut vuoden 2023 puolivälistä lähtien kohdistuen terveydenhuolto-, koulutus- ja hallintosektoreihin.thehackernews+1

"Ottaen huomioon infrastruktuurin hienostuneisuuden ja operaattoreiden todistetun kyvyn automatisoida kirjautumistietojen kerääminen Fortinet-laitteita vastaan, organisaatioiden, jotka käyttävät internetiin päin avointa Citrix-infrastruktuuria, tulisi pitää tätä varhaisena varoituksena", SOCRadarin tietoturvajohtaja Ensar Seker kertoi The Hacker Newsille.thehackernews