FortiBleed herferð tengd INC og Lynx lausnarhugbúnaðarhópum

SOCRadar tengdi FortiBleed herferðina við INC Ransom og Lynx lausnarhugbúnaðarhópana eftir að hafa fundið stjórnanda virkan á samningaborðum beggja hópa.thehackernews+1
Aðgerðin beindist að yfir 430.000 Fortinet eldveggjum á heimsvísu, safnaði meira en 110 milljónum innskráningarupplýsinga og leiddi til að minnsta kosti 12 lausnarhugbúnaðarárása.thehackernews+1
Árásarmennirnir búa einnig yfir Nextcloud núll-dags veikleika og hafa safnað skotmörkum fyrir Citrix umhverfi, samkvæmt SOCRadar, sem gefur til kynna að herferðin gæti breiðst út.thehackernews+1

Gríðarleg aðgerð til að safna innskráningarupplýsingum sem beindist að hundruðum þúsunda Fortinet eldveggja um allan heim hefur verið beintengd tveimur lausnarhugbúnaðarhópum, INC Ransom og Lynx, samkvæmt nýjum rannsóknum sem netöryggisfyrirtækið SOCRadar birti á miðvikudag.

Niðurstöðurnar leiða í ljós að FortiBleed — herferð sem kom fyrst í ljós um miðjan júní 2026 eftir að öryggisbrestur gerði netþjón með stolnum innskráningarupplýsingum aðgengilegan almenningi — var ekki bara leið til að miðla aðgangi, heldur pípa sem mataði virkar lausnarhugbúnaðaraðgerðir.

Frá þjófnaði á innskráningarupplýsingum til lausnarhugbúnaðar

Ógnarrannsóknardeild SOCRadar greindi frá því að stjórnandi sem tengdist innviðum FortiBleed fannst innskráður á samningaborðum bæði INC Ransom og Lynx, þar sem fórnarlömb sem INC Ransom skráði skarast við gögn úr herferðinni. Rannsakendur fylgdust með skönnunarvirkni gegn um það bil 11.250 FortiGate gáttum í meira en 150 löndum, sem leiddi til staðfests stjórnandaaðgangs á 409 skotmörkum og fullkominnar skerðingar á 354 stofnunum. Að minnsta kosti 12 lausnarhugbúnaðarárásir urðu afleiðing þessa aðgangs, sem dulkóðuðu hundruð endapunkta hjá viðkomandi stofnunum.thehackernews+1

Aðgerðin beindist að meira en 430.000 FortiGate eldveggjum á heimsvísu og safnaði yfir 110 milljónum innskráningarupplýsinga með sérsniðnum pakkagreiningartólum sem komið var fyrir á sýktum tækjum. SOCRadar auðkenndi meira en 200 rekstrarþjóna umfram þá sem upphaflega voru þekktir og vísbendingar sem benda til þess að hópurinn samanstendur af um 20 meðlimum með skilgreind hlutverk.bleepingcomputer+2

Rússneskumælandi aðgerð

Tól, annálar og vinnutímar benda til þess að starfsemin sé verk rússneskumælandi ógnaraðila sem starfar sem miðlari aðgangs, samkvæmt SOCRadar. Miðunin hefur beinst að framleiðslu-, tækni- og flutningageirum í Rómönsku Ameríku og Asíu-Kyrrahafssvæðinu.securityweek+1

Netöryggis- og innviðaöryggisstofnunin hafði áður hvatt stofnanir til að endurstilla allar stjórnanda- og VPN-innskráningarupplýsingar, framfylgja fjölþátta auðkenningu og takmarka stjórnunarviðmót eftir að umfang skerðingarinnar varð ljóst um miðjan júní.cybersecuritydive+1

Stækkandi skotmörk

SOCRadar uppgötvaði einnig að árásarmennirnir búa yfir að minnsta kosti einum núll-dags veikleika í Nextcloud og hafa safnað skotmörkum sem innihalda um 29.000 IP-tölur tengdar Citrix umhverfi, sem bendir til þess að aðgerðin gæti náð út fyrir Fortinet tæki. Rannsakendur telja að Lynx sé endurmerking á INC Ransom, sem hefur starfað frá miðju ári 2023 og beinst að heilbrigðis-, mennta- og stjórnsýslugeirum.thehackernews+1

„Miðað við fágun innviðanna og sannaða getu stjórnenda til að gera sjálfvirka söfnun innskráningarupplýsinga gegn Fortinet tækjum, ættu stofnanir sem nota Citrix innviði sem snúa að internetinu að líta á þetta sem snemmtæka viðvörun,“ sagði Ensar Seker, yfirmaður upplýsingaöryggis hjá SOCRadar, við The Hacker News.thehackernews

Heimildir (15)