FortiBleed-ის კამპანია დაკავშირებულია INC და Lynx-ის გამოსასყიდი პროგრამების ჯგუფებთან

მასშტაბური ოპერაცია სარწმუნო მონაცემების მოსაპოვებლად, რომელიც მიზნად ისახავდა ასობით ათასი Fortinet ↘ 0.01%-ის ფაირვოლს მთელ მსოფლიოში, პირდაპირ დაუკავშირდა გამოსასყიდი პროგრამების ორ ჯგუფს, INC Ransom-სა და Lynx-ს, კიბერუსაფრთხოების ფირმა SOCRadar-ის მიერ ოთხშაბათს გამოქვეყნებული ახალი კვლევის თანახმად.

აღმოჩენები ცხადყოფს, რომ FortiBleed — კამპანია, რომელიც პირველად 2026 წლის ივნისის შუა რიცხვებში გამოაშკარავდა მას შემდეგ, რაც ოპერატიული უსაფრთხოების შეცდომის გამო მოპარული მონაცემების სერვერი საჯაროდ ხელმისაწვდომი გახდა — არ იყო მხოლოდ წვდომის ბროკერული სქემა, არამედ მილსადენი, რომელიც კვებავდა აქტიურ გამოსასყიდი პროგრამების ოპერაციებს.

მონაცემთა ქურდობიდან გამოსასყიდ პროგრამებამდე

SOCRadar-ის საფრთხეების კვლევის განყოფილებამ განაცხადა, რომ FortiBleed-ის ინფრასტრუქტურასთან დაკავშირებული ოპერატორი აღმოჩენილი იქნა INC Ransom-ისა და Lynx-ის მოლაპარაკებების პანელებში შესული, ხოლო INC Ransom-ის მიერ ჩამოთვლილი მსხვერპლები ემთხვეოდა კამპანიის მონაცემებს. მკვლევარებმა თვალყური ადევნეს სკანირების აქტივობას დაახლოებით 11,250 FortiGate პორტალის წინააღმდეგ 150-ზე მეტ ქვეყანაში, რასაც მოჰყვა ადმინისტრატორის დონის წვდომის დადასტურება 409 სამიზნეზე და 354 ორგანიზაციის სრული კომპრომეტირება. ამ წვდომის შედეგად მოხდა მინიმუმ 12 გამოსასყიდი პროგრამის განლაგება, რამაც დაშიფრა ასობით ბოლო წერტილი დაზარალებულ ორგანიზაციებში.thehackernews+1

ოპერაცია მიზნად ისახავდა 430,000-ზე მეტ FortiGate ფაირვოლს გლობალურად, აგროვებდა 110 მილიონზე მეტ სარწმუნო მონაცემს კომპრომეტირებულ მოწყობილობებზე განლაგებული პაკეტების სნიფინგის მორგებული ხელსაწყოების გამოყენებით. SOCRadar-მა იდენტიფიცირება მოახდინა 200-ზე მეტი ოპერატიული სერვერის, გარდა თავდაპირველად ცნობილისა, და მტკიცებულებები, რომლებიც მიუთითებს იმაზე, რომ ჯგუფი შედგება დაახლოებით 20 წევრისგან განსაზღვრული როლებით.bleepingcomputer+2

რუსულენოვანი ოპერაცია

ხელსაწყოები, ჟურნალები და სამუშაო საათები მიუთითებს იმაზე, რომ ეს აქტივობა არის რუსულენოვანი საფრთხის შემცველი აქტორის მუშაობა, რომელიც მოქმედებს როგორც საწყისი წვდომის ბროკერი, SOCRadar-ის თანახმად. სამიზნეები ფოკუსირებული იყო ლათინური ამერიკისა და აზია-წყნარი ოკეანის რეგიონის წარმოების, ტექნოლოგიებისა და ლოჯისტიკის სექტორებზე.securityweek+1

კიბერუსაფრთხოებისა და ინფრასტრუქტურის უსაფრთხოების სააგენტომ მანამდე მოუწოდა ორგანიზაციებს, გადაეტვირთათ ყველა ადმინისტრაციული და VPN სარწმუნო მონაცემი, აღესრულებინათ მრავალფაქტორიანი ავთენტიფიკაცია და შეეზღუდათ მართვის ინტერფეისები მას შემდეგ, რაც ივნისის შუა რიცხვებში კომპრომეტირების მასშტაბი ნათელი გახდა.cybersecuritydive+1

სამიზნეების გაფართოება

SOCRadar-მა ასევე აღმოაჩინა, რომ თავდამსხმელებს აქვთ მინიმუმ ერთი ნულოვანი დღის დაუცველობა Nextcloud-ში და შეადგინეს სამიზნეების სიები, რომლებიც შეიცავს დაახლოებით 29,000 IP მისამართს, რომლებიც დაკავშირებულია Citrix-ის გარემოსთან, რაც მიუთითებს იმაზე, რომ ოპერაცია შეიძლება გასცდეს Fortinet-ის მოწყობილობებს. მკვლევარებს სჯერათ, რომ Lynx არის INC Ransom-ის რებრენდინგი, რომელიც 2023 წლის შუა პერიოდიდან მოქმედებს და მიზნად ისახავს ჯანდაცვის, განათლებისა და სამთავრობო სექტორებს.thehackernews+1

"ინფრასტრუქტურის დახვეწილობისა და ოპერატორების მიერ Fortinet-ის მოწყობილობების წინააღმდეგ სარწმუნო მონაცემების შეგროვების ავტომატიზაციის დადასტურებული უნარის გათვალისწინებით, ორგანიზაციებმა, რომლებიც იყენებენ ინტერნეტთან დაკავშირებულ Citrix-ის ინფრასტრუქტურას, ეს უნდა განიხილონ როგორც ადრეული გაფრთხილება", – განუცხადა SOCRadar-ის მთავარმა ინფორმაციული უსაფრთხოების ოფიცერმა ენსარ სეკერმა The Hacker News-ს.thehackernews