FortiBleed 2.0 : 975 nouveaux domaines et 40 573 secrets exposés en clair dans des configs FortiGate

📅 Source : infostealers.com (Hudson Rock), publié le 27 octobre 2026. Cet article présente les résultats de FortiBleed 2.0, une investigation de suivi menée par Hudson Rock avec le crédit de recherche attribué à NyxLab et à leur analyse de l’acteur k0t.

🔍 Contexte : Les fichiers analysés sont des rapports de configuration FortiGate obtenus récemment, dont 1 672 sur 1 703 portent un horodatage de rapport au 20 février 2026, antérieur aux données de FortiBleed 1.0 (estimées mai/juin 2026). Il s’agit de dates de rapport, non de dates de compromission établies indépendamment.

📊 Volume d’exposition :

• 101 419 enregistrements de comptes et credentials au total
• 40 573 enregistrements contenant des secrets en clair
• 37 076 entrées d’utilisateurs locaux en clair
• 1 576 enregistrements de liaisons LDAP Active Directory en clair
• 13 786 entrées d’administrateurs système (dont 13 369 avec hash)
• 208 enregistrements HA et 176 enregistrements SMTP (144 et 105 en clair respectivement)
• 924 identifiants d’hôtes (54,7 %) absents de FortiBleed 1.0
• 975 labels de domaine (67,1 %) absents de FortiBleed 1.0

⚙️ Chaîne d’attaque documentée associée à l’outillage de l’acteur k0t :

1. Extraction de configuration via forti_parse.py : récupération des comptes admin, utilisateurs locaux, liaisons LDAP, HA, SMTP
2. Tentative d’accès VPN via vpn_checker.py / openconnect
3. Reconnaissance interne via nxc / NetExec contre les systèmes internes, ciblant notamment les serveurs LDAP/Active Directory

🔑 Comptes récurrents identifiés : fgtsecure (106 occurrences), admin, Technical_support, callcenter, fgtsec, forticloud-sync, districtadmin, ftadm1n, super_admin, my_admin, forti-auth-tech

🏢 Exemples de victimes documentées : Hilton (domaine HILTON.LOCAL, firewall Hilton-FW / FortiGate-60F), Office of the Vocational Education Commission thaïlandaise (ovec.go.th), Payap University (ads.payap.ac.th), Elumax Corporation (elumax.com), ville de Bangkok (bangkok.go.th)

🔓 Mécanisme de récupération des secrets : Les configurations FortiOS utilisant la clé système par défaut permettent la récupération hors ligne des secrets chiffrés (ENC). Les hashes SHA-256 (SH2) et PBKDF2 (PB2) sont distincts des valeurs ENC réversibles.

📌 Type d’article : Publication de recherche CTI à visée de divulgation éthique, documentant l’étendue d’une fuite de configurations FortiGate et les capacités d’exploitation associées à un acteur identifié.

🧠 TTPs et IOCs détectés

Acteurs de menace

• k0t (cybercriminal) — orkl.eu · Malpedia

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1552.001 — Credentials In Files (Credential Access)
• T1078 — Valid Accounts (Defense Evasion)
• T1133 — External Remote Services (Initial Access)
• T1087.002 — Account Discovery: Domain Account (Discovery)
• T1110 — Brute Force (Credential Access)
• T1021.002 — Remote Services: SMB/Windows Admin Shares (Lateral Movement)
• T1589.001 — Gather Victim Identity Information: Credentials (Reconnaissance)

IOC

• IPv4 : 203.159.253.220 — AbuseIPDB · VT · ThreatFox
• IPv4 : 211.75.64.189 — AbuseIPDB · VT · ThreatFox
• IPv4 : 49.229.69.162 — AbuseIPDB · VT · ThreatFox
• Domaines : ovec.go.th — VT · URLhaus · ThreatFox
• Domaines : elumax.com — VT · URLhaus · ThreatFox
• Domaines : ads.payap.ac.th — VT · URLhaus · ThreatFox
• Domaines : bangkok.go.th — VT · URLhaus · ThreatFox
• Domaines : theelysiumhotels.com — VT · URLhaus · ThreatFox
• Fichiers : forti_parse.py
• Fichiers : vpn_checker.py

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 28 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• forti_parse.py (tool)
• vpn_checker.py (tool)
• openconnect (tool)
• NetExec (tool)

🟡 Indice de vérification factuelle : 55/100 (moyenne)

• ⬜ infostealers.com — source non référencée (0pts)
• ✅ 23372 chars — texte complet (fulltext extrait) (15pts)
• ✅ 10 IOCs (IPs/domaines/CVEs) (10pts)
• ⬜ 0/6 IOCs confirmés externellement (0pts)
• ✅ 8 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : k0t (5pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.infostealers.com/article/fortibleed-2-0-975-new-domains-40573-exposed-secrets-claim-your-ethical-disclosure/