История FortiBleed. Как десятки тысяч устройств Fortinet стали фабрикой для сбора данных

Из­началь­но речь шла при­мер­но о 73 тысячах ском­про­мети­рован­ных устрой­ств, одна­ко вско­ре их чис­ло воз­росло до 86 644. Сре­ди пос­тра­дав­ших орга­низа­ций ока­зались Samsung, Foxconn, Comcast, AT&T, Mercedes-Benz, Toyota, Chevron, Siemens, Lenovo, PwC, Accenture, Oracle, пра­витель­ствен­ные учрежде­ния и опе­рато­ры кри­тичес­кой инфраструк­туры.

Эта наход­ка получи­ла наз­вание FortiBleed, и вско­ре иссле­дова­тели выяс­нили, что за обна­ружен­ной БД сто­ят зло­умыш­ленни­ки с по‑преж­нему дей­ству­ющей инфраструк­турой, которые мас­сово ска­ниру­ют интернет, взла­мыва­ют устрой­ства, перех­ватыва­ют про­ходя­щий через них тра­фик и прев­раща­ют похищен­ные дос­тупы в плац­дармы для атак на внут­ренние сети жертв. В отдель­ных слу­чаях такие ата­ки завер­шились шиф­ровани­ем сотен сис­тем.

Кладезь данных

На сер­вере, который слу­чай­но обна­ружил Дьячен­ко, хра­нились спис­ки устрой­ств Fortinet, свя­зан­ные с ними домен­ные име­на, адре­са адми­нис­тра­тив­ных панелей и VPN-шлю­зов, а так­же потен­циаль­но рабочие учет­ные дан­ные. Эксперт писал:

В фай­лах, подоб­ных это­му (см. скрин­шот ниже), перечис­лены тысячи устрой­ств ведущих про­изво­дите­лей. Толь­ко этот файл содер­жит 21 634 домен­ных име­ни — от Chevron до самой Fortinet. Для всех ука­заны потен­циаль­но рабочие пароли к устрой­ствам FortiGate, получен­ные раз­личны­ми спо­соба­ми.

Спе­циалис­ты ком­пании Hudson Rock, получив­шие от Дьячен­ко дамп для ана­лиза, наз­вали эту наход­ку одной из круп­ней­ших извес­тных кол­лекций учет­ных дан­ных, свя­зан­ных с Fortinet. Иссле­дова­тели нас­читали 73 932 уни­каль­ных URL-адре­са в 194 стра­нах и 21 632 зат­ронутых домена. Поз­же ана­лити­ки из ком­пании SOCRadar, тоже изу­чив­шие утеч­ку, уве­личи­ли эту оцен­ку до 86 644 бран­дма­уэров и VPN-шлю­зов. Это при­мер­но полови­на всей дос­тупной через интернет инфраструк­туры Fortinet.

Ге­огра­фия кам­пании ока­залась гло­баль­ной. Боль­ше все­го от FortiBleed пос­тра­дали устрой­ства в Индии, США, Мек­сике, Колум­бии и Таилан­де (так­же иссле­дова­тели выделя­ли Тай­вань, Тур­цию, Малай­зию, Чили и ОАЭ). Сре­ди наибо­лее пос­тра­дав­ших отраслей ока­зались телеком, государс­твен­ный сек­тор и обра­зова­ние.

Как писали спе­циалис­ты SOCRadar, сама струк­тура БД поз­воляла понять при­чины ком­про­мета­ции. Так, 35% записей в дам­пе отно­сились к типовым адми­нис­тра­тив­ным акка­унтам, еще 28,3% — к встро­енным сис­темным учет­ным записям Fortinet. Оставши­еся 36,7% были свя­заны с акка­унта­ми, соз­данны­ми самими орга­низа­циями. Иссле­дова­тели пред­полага­ли, что мно­гие вла­дель­цы устрой­ств не меняли дефол­тные логины и пароли или про­дол­жали исполь­зовать учет­ные дан­ные, ранее ском­про­мети­рован­ные в резуль­тате дру­гих уте­чек.

Из­вес­тный ИБ‑спе­циалист Кевин Бомонт (Kevin Beaumont) незави­симо про­верил часть дан­ных из дам­па и убе­дил­ся, что некото­рые логины и пароли под­линные и до сих пор работа­ют: мно­гие устрой­ства исполь­зовали све­жие вер­сии FortiOS и оста­вались под­клю­чены к интерне­ту. Кро­ме того, эксперт под­черки­вал, что IP-адре­са из базы FortiBleed не сов­пада­ют с дан­ными, которые в 2025 году опуб­ликова­ла груп­пиров­ка Belsen Group. То есть новая база име­ла дру­гое про­исхожде­ние.

Бо­монт отме­чал, что осо­бое бес­покой­ство вызыва­ет сам фор­мат информа­ции в базе. Дело в том, что часть записей напоми­нала дан­ные из экспор­тирован­ных кон­фигура­ций устрой­ств FortiGate: в них при­сутс­тво­вали све­дения, обыч­но дос­тупные в кон­фигура­цион­ных фай­лах. Оста­лось неяс­но, каким обра­зом зло­умыш­ленни­ки мог­ли получить эти фай­лы — через ста­рые уяз­вимос­ти, неиз­вес­тный баг или иной век­тор ата­ки.

От брутфорса до полной компрометации

Най­ден­ный сер­вер содер­жал не толь­ко таб­лицу с учет­ными дан­ными и IP-адре­сами. В час­тнос­ти, Дьячен­ко обна­ружил логи, скрип­ты, исто­рию команд и дру­гие слу­жеб­ные арте­фак­ты, которые поз­волили изу­чить работу опе­рато­ров FortiBleed.