FortiBleed is nog lang niet voorbij. De FBI en de Amerikaanse Secret Service publiceerden op 6 oktober een gezamenlijke advisory. Daarin staat dat de aanvallers nog steeds internetgerichte FortiGate firewalls en SSL VPN gateways scannen met eerder buitgemaakte inloggegevens. Er is ook een nieuw risico bijgekomen: beheerders die niet meer in hun eigen firewall kunnen.
Wat is FortiBleed ook alweer
De campagne kwam in juni aan het licht toen onderzoeker Volodymyr Diachenko een server van de aanvallers vond vol werkende inloggegevens. SOCRadar telt meer dan 86.644 gecompromitteerde apparaten in 194 landen. Er zit geen nieuwe kwetsbaarheid achter. De groep gebruikt gelekte en hergebruikte wachtwoorden, credential stuffing en password spraying, en kraakt daarna wachtwoordhashes in het oude SHA-256 formaat op een GPU-cluster. In Nederland telden Secutec en SOCRadar in juni 279 getroffen organisaties, van gemeenten tot scholen en advocatenkantoren.
Aanvallers sluiten beheerders buiten hun FortiGate
Volgens de FBI maken de aanvallers bij de eerste inbraak nieuwe beheeraccounts aan. Soms verwijderen ze bestaande accounts of wijzigen ze het wachtwoord, zodat de eigenaar buitengesloten word terwijl de aanvaller verder het netwerk in gaat. De advisory noemt namen die keer op keer opduikt, zoals adminin, fortiAdmin, forticloud-sync, support_fortinet en adminsslvpn.
De lijst met ransomwaregroepen die van de toegang profiteren is langer als eerder gemeld. Naast INC en Lynx noemen de diensten nu ook Payload ransomware.
Wat moet je nu controleren op je FortiGate
Loop alle beheeraccounts na en vergelijk de configuratie met een bekende goede versie. Ik zou dat doen voordat je wachtwoorden reset, want een onbekend account dat blijft staan maakt die reset zinloos. Beëindig daarna alle admin en VPN sessies, reset wachtwoorden en dwing phishingbestendige MFA af. Nieuw is het advies om REST API keys na te lopen, onbekende keys te verwijderen en legitieme keys te vernieuwen.
Controleer ook of beheerwachtwoorden met PBKDF2 zijn opgeslagen. FortiOS ondersteunt dat sinds 7.2.11, 7.4.8 en 7.6.1. Na een upgrade blijft een bestaand wachtwoord echter als SHA-256 hash staan tot de beheerder opnieuw inlogt. Fortinet beschrijft hoe je met set login-lockout-upon-weaker-encryption de oude hashes uitfaseert.
Dan de beheerinterface. FBI en Fortinet hanteren dezelfde rangorde: trusted hosts is goed, een local-in policy beter en geen beheer via internet het best. Ik zie eerlijk gezegd geen reden om voor iets anders te kiezen dan die laatste optie.
Meer info via https://thehackernews.com/2026/10/fbi-warns-fortibleed-remains-active.html
