TL;DR : L’essentiel
- Une campagne baptisée FortiBleed exploite des identifiants d’administration déjà divulgués pour prendre le contrôle à distance de passerelles FortiGate et en verrouiller l’accès aux équipes techniques légitimes.
- Les pirates informatiques utilisent des fermes de calcul équipées de puces graphiques pour casser hors ligne les empreintes de mots de passe protégées par des algorithmes de hachage obsolètes.
- Les accès compromis sont triés selon les revenus financiers des victimes puis revendus à des affiliés de rançongiciels comme Payload et INC/Lynx pour infiltrer les réseaux internes.
- Les autorités fédérales recommandent de désactiver les interfaces d’administration exposées sur le web, d’imposer une authentification multifacteur et d’adopter l’algorithme robuste PBKDF2 pour stocker les mots de passe.
La campagne d’attaques FortiBleed met en évidence une vulnérabilité opérationnelle critique : l’intrusion dans des firewalls Fortinet exposées ne repose sur aucune faille logicielle inédite, mais sur le recyclage massif d’identifiants valides. Découverte initialement en juin lors de la fuite accidentelle d’un serveur contenant les accès en clair de près de 74’000 pare-feu, cette opération a continué de s’étendre. Les analyses techniques menées par SOCRadar confirment désormais la compromission d’environ 86 600 équipements répartis dans 194 pays. Face à l’ampleur des intrusions, le FBI et le Secret Service ont émis un bulletin d’alerte conjoint pour avertir les entreprises contre une vague de verrouillage de leurs propres équipements de sécurité.
FortiBleed recycle les accès d’administration sur FortiGate
Les attaquants ciblent les portails SSL VPN et les pare-feu FortiGate directement visibles sur Internet sans exploiter de faille zero-day. L’intrusion initiale s’appuie sur des listes de données issues de fuites antérieures et de journaux collectés par des logiciels espions spécialisés dans le vol d’identifiants. À l’aide de scripts automatisés, les cybercriminels exécutent des attaques par pulvérisation de mots de passe et par bourrage d’identifiants pour forcer les accès distants. Cette méthode consiste à tester de manière répétée des combinaisons de connexions connues sur une multitude de passerelles jusqu’à trouver une correspondance fonctionnelle.
Une fois connectés avec des droits administrateurs, les assaillants extraient la base des empreintes cryptographiques des mots de passe enregistrées localement sur l’appareil. Ces données sont ensuite envoyés vers un groupement distribué de processeurs graphiques utilisant les outils spécialisés Hashcat et Hashtopolis pour reconstituer les mots de passe en texte clair à une cadence industrielle. Comme le souligne BleepingComputer, la persistance de l’algorithme de hachage ancien SHA-256 rend cette opération de déchiffrement hors ligne particulièrement rapide et dévastatrice.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
L’industrialisation du tri des victimes qui alimente le rançongiciel
Les détails du fonctionnement interne de la menace sont apparus lorsque l’opérateur de FortiBleed a commis une erreur de sécurité opérationnelle en laissant son serveur central ouvert sans mot de passe. L’inspection de cette arborescence a dévoilé un répertoire complet de configurations VPN fonctionnelles, des listes d’adresses réseau et des scripts de filtrage destinés à écarter les serveurs leurres configurés pour piéger les intrus. Les cybercriminels enrichissent méthodiquement les données recueillies, classant les entreprises compromises selon le chiffre d’affaires et la topologie de leur réseau afin de préparer des lots d’accès prêts à la vente.
L’infrastructure d’attaque utilise une adresse IP définie comme serveur de commande et de contrôle, masquée derrière des nœuds relais proxy, ainsi qu’un relais. Selon les observations techniques documentées par SecurityAffairs, ce modèle économique sert de rampe de lancement pour des courtiers en accès initial. Ces derniers revendent directement les accès obtenus à des groupes de rançongiciels, parmi lesquels Payload ainsi que l’alliance INC/Lynx, déjà impliqués dans au moins 12 cyberattaques confirmées consécutives à ces vols d’identifiants.
Analyse
Le FBI et les services secrets américains ont publié un avis conjoint concernant FortiBleed, et le chiffre principal à lui seul est impressionnant : plus de 86 000 machines Fortinet FortiGate sont compromises dans 194 pays. Le problème principal réside dans l’absence de faille zero-day. Il s’agit en réalité d’une campagne entièrement basée sur des identifiants déjà en circulation, réutilisés, divulgués ou protégés par un hachage faible que personne n’a pris la peine de remplacer.
Le verrouillage des comptes légitimes bloque toute remédiation
L’étape la plus critique de l’attaque intervient lorsque les intrus modifient la configuration du pare-feu pour consolider leur présence. Les attaquants créent de nouveaux profils d’administration sur le matériel tout en supprimant les comptes légitimes existants ou en changeant leurs codes d’accès. Privées de leurs droits d’entrée, les équipes de sécurité internes se retrouvent totalement exclues de leurs équipements, incapables d’engager un plan de remédiation classique ou d’interrompre les sessions compromises sans passer par des procédures de récupération lourdes.
Depuis cette position de force sur la passerelle d’accès, les cybercriminels progressent latéralement dans le réseau interne et cartographient l’annuaire d’entreprise Active Directory. Comme le rapporte The Register, les agences gouvernementales insistent sur le fait qu’une simple mise à jour logicielle est insuffisante pour bloquer cette menace. La sécurisation impose de supprimer l’exposition des consoles d’administration sur le réseau public, de révoquer l’ensemble des sessions VPN actives, d’exiger une authentification multifacteur résistante à l’hameçonnage et de migrer immédiatement le stockage des mots de passe vers le protocole PBKDF2 disponible depuis FortiOS 7.2.11.
Cette vague d’attaques rappelle que l’absence de faille zero-day ne garantit en rien la sécurité d’un équipement périmétrique lorsque la gestion des identifiants et le hachage cryptographique demeurent négligés.
Questions fréquentes sur FortiBleed
Qu’est-ce que l’attaque FortiBleed qui touche les équipements Fortinet ?
FortiBleed désigne une campagne d’intrusion à large échelle ciblant les passerelles SSL VPN et les pare-feu Fortinet FortiGate exposés sur Internet. L’opération n’exploite aucune faille logicielle inédite mais réutilise des identifiants d’administration déjà divulgués dans des fuites de données antérieures.
Comment les attaquants parviennent-ils à casser les mots de passe volés ?
Les cybercriminels extraient les empreintes de mots de passe stockées sur les passerelles compromises et les traitent hors ligne. Ils utilisent des grappes de calcul équipées de puces graphiques combinées aux outils Hashcat et Hashtopolis pour casser facilement les empreintes générées par l’algorithme obsolète SHA-256.
Pourquoi les entreprises victimes ne peuvent-elles plus accéder à leur pare-feu ?
Dès leur prise de contrôle, les pirates informatiques génèrent de nouveaux profils d’accès d’administration et effacent les comptes légitimes existants. Ils modifient également les mots de passe en place, privant totalement les équipes techniques de la gestion de leur passerelle réseau.
Quel est le lien entre FortiBleed et les rançongiciels ?
Les cybercriminels agissent comme des courtiers en accès initial en triant les entreprises selon leurs revenus financiers et la topologie de leur réseau. Ces accès administratifs validés sont ensuite commercialisés auprès d’affiliés de rançongiciels tels que Payload et INC/Lynx pour infiltrer les réseaux internes.
Quelles mesures techniques permettent de neutraliser cette menace ?
Les organisations doivent désactiver les interfaces d’administration exposées sur le web et interrompre toutes les sessions actives. Il est indispensable de déployer une authentification multifacteur et d’activer l’algorithme de hachage PBKDF2 pour protéger les comptes administratifs.
Une lecture utile ?
Un café, c'est une façon simple de dire merci pour la veille. Sans abonnement, sans engagement.
