Fortibleed

🌐 Contexte Source : cybersecuritynews.com, publié le 27 juillet 2026. L’article analyse quatre campagnes convergentes d’exploitation d’équipements VPN et firewall exposés sur Internet, utilisés comme vecteur d’accès initial privilégié par des opérateurs de ransomware en mid-2026. 🎯 Campagnes identifiées Campagne 1 — Fortibleed (Fortinet FortiGate) Première identification : mi-juin 2026 Extraction massive de fichiers de configuration et crackage de hashes de mots de passe sur des FortiGate exposés Environ 75 000 appareils compromis dans 194 pays et 21 000+ domaines Analysé par Kevin Beaumont, Hudson Rock et SOCRadar Pas d’attribution formelle à un groupe ransomware Campagne 2 — Palo Alto GlobalProtect (CVE-2026-0257, CVSS 7.8) ...

🌐 Contexte Source : Cyber Security News (cybersecuritynews.com), publié le 27 juillet 2026. L’article documente une vague coordonnée d’exploitation ciblant les appliances VPN et firewall de Palo Alto Networks, Fortinet, Citrix et Check Point, identifiée comme le vecteur d’accès initial dominant pour les opérateurs de ransomware en mid-2026. 🎯 Campagnes documentées Campagne 1 — Fortibleed (Fortinet FortiGate) Campagne de masse de collecte de credentials identifiée mi-juin 2026 Extraction de fichiers de configuration depuis ~75 000 FortiGate exposés sur internet (194 pays, 21 000+ domaines) Craquage des hashes de mots de passe stockés Analysée par Kevin Beaumont, Hudson Rock et SOCRadar Aucune CVE unique : exploitation cumulative de faiblesses connues de stockage de credentials FortiOS Campagne 2 — Palo Alto GlobalProtect (CVE-2026-0257) Bypass d’authentification (CWE-565) via falsification de cookies d’override d’authentification Divulgué le 13 mai 2026, PoC Rapid7 publié le 29 mai 2026 CVSS révisé de 4.7 à 7.8, ajouté au catalogue KEV de la CISA Exploitation confirmée dès le 17 mai 2026 ; affiliés Qilin confirmés en juillet 2026 Post-exploitation : Impacket, attaques NTLM relay, mouvement latéral Campagne 3 — Check Point VPN (CVE-2026-50751) CVSS 9.3 — bypass d’authentification via faille de validation de certificat dans le protocole IKEv1 déprécié Divulgué le 8 juin 2026 ; exploitation confirmée dès le 7 mai 2026 (un mois avant divulgation) Technique : manipulation des flags d’authentification via payload VPNExtFeatures Vendor ID personnalisé Affilié Qilin confirmé dans des activités post-compromission CVE connexe : CVE-2026-50752 (CVSS 7.4) — risque AitM sur VPN site-à-site, non exploité in-the-wild Campagne 4 — Citrix NetScaler (CVE-2026-8451) CVSS 8.8 — lecture hors limites pré-authentification dans le parser XML/SAML, famille CitrixBleed Divulgué le 30 juin 2026 ; tentatives d’exploitation moins de 24h après divulgation Vecteur : payloads <samlp:AuthnRequest> malformés avec espaces padding, cookie NSC_TASS anormal IP source d’une campagne tracée : 146.70.139[.]154 CVE précédent de la même famille : CVE-2026-3055 (CVSS 9.3), patché en mars 2026 🛠️ Outils et techniques observés Impacket — mouvement latéral et abus de protocoles NTLM relay attacks — escalade de privilèges Mimikatz — dump de credentials en mémoire PsExec, RDP, WMI — mouvement latéral living-off-the-land Script Chrome GPO-distribué — vol de credentials navigateur à l’échelle du domaine WSL (Windows Subsystem for Linux) — évasion EDR Cookies d’override forgés, payloads IKEv1 personnalisés, requêtes SAML malformées 🏭 Secteurs ciblés Santé, éducation, industrie manufacturière, gouvernements locaux, médias, services professionnels, infrastructures critiques. ...

📰 Source : BleepingComputer, publié le 1er juillet 2026. Cet article rapporte les conclusions de l’unité de recherche SOCRadar (STRU) sur la campagne FortiBleed, une opération massive de vol de credentials ciblant les équipements Fortinet FortiGate. 🎯 Contexte de la campagne Un serveur exposé sur internet contenait des credentials volés sur plus de 73 000 appareils Fortinet, incluant des fichiers de configuration FortiGate, des credentials récoltés et une infrastructure de crackage de hashes et de credential stuffing. La campagne a été baptisée FortiBleed. ...

🔍 Contexte Publié le 19 juin 2026 par SpyCloud Labs, cet article présente une analyse technique approfondie de l’infrastructure opérationnelle du groupe à l’origine du dataset « FortiBleed », initialement découvert par le chercheur Volodymyr « Bob » Diachenko. SpyCloud a obtenu une copie des données et les a analysées contre son schéma de brèches. 🎯 Nature de la campagne La campagne, active depuis le 19 mai 2026, est opérée par un courtier d’accès initial (IAB) russophone utilisant des techniques de mass-scanning et brute-force (spray-and-pray) contre des équipements exposés sur Internet : ...

🔍 Contexte Le 19 juin 2026, Fortinet publie sur son blog PSIRT une analyse officielle d’une campagne malveillante baptisée FortiBleed, ciblant des équipements FortiGate dans le cadre d’une opération de credential harvesting. 🎯 Nature de l’activité Selon Fortinet, cette campagne repose sur deux vecteurs principaux : Réutilisation de credentials issus d’incidents antérieurs référencés FG-IR-26-060 et FG-IR-25-647 Attaques par force brute contre des appareils présentant une politique de mots de passe faible et sans authentification multi-facteurs (MFA) Fortinet précise explicitement qu’il ne s’agit pas d’une nouvelle vulnérabilité et que cette activité n’est pas liée à un incident ou advisory récent. ...

🗓️ Contexte Article publié le 21 juin 2026 par Hudson Rock via la plateforme Infostealers. Il s’agit d’une analyse technique approfondie de la campagne FortiBleed, initialement divulguée par Hudson Rock, portant sur la compromission de 75 000 firewalls Fortinet FortiGate exposés sur internet, couvrant 21 632 domaines. ⚙️ Mécanisme d’attaque Les attaquants ont adopté un pipeline entièrement automatisé et assisté par IA : Collecte : exfiltration de fichiers de configuration chiffrés depuis des appareils Fortinet exposés Infrastructure de craquage : location de 36 GPU enterprise (3 instances × 4 GPU + 3 instances × 8 GPU) sur la plateforme Vast.ai, pour un coût d’environ 14,40 $/heure (~350 $/jour) Orchestration : gestion du cluster via un bot Telegram et le framework open source Hashtopolis Développement : scripts et bots écrits avec l’éditeur de code assisté par IA Cursor Post-exploitation : utilisation de frameworks de pentest agentiques open source pour l’énumération Active Directory 🔢 Performances cryptographiques Hachages SHA-256 salés (legacy Fortinet) : jusqu’à 720 milliards de hachages/seconde → mots de passe complexes épuisés en quelques minutes PBKDF2 (FortiOS récent) : entre 180 et 360 millions de hachages/seconde → attaques par dictionnaire et règles ciblées en quelques secondes Résultat : craquage de ~143 000 hachages Kerberos et ~33 000 hachages NetNTLM ciblant des contrôleurs de domaine internes 🌐 Impact supply chain Les firewalls compromis servent de beachheads pour pivoter latéralement vers des fournisseurs tiers, MSPs et partenaires de confiance, transformant une compromission périmétrique en crise de chaîne d’approvisionnement en cascade. ...