FBI และ Secret Service เตือน FortiBleed ยังโจมตีไม่หยุด — สแกน FortiGate ด้วย credential ที่เคยขโมยได้ สร้างบัญชีแอดมินใหม่ และบางรายลบบัญชีเดิมจนเจ้าของล็อกอินไม่ได้

สรุปสั้น

สำนักงานสอบสวนกลางสหรัฐฯ (FBI) และหน่วยสืบราชการลับสหรัฐฯ (USSS) ออกคำเตือนร่วมเมื่อวันที่ 6 ตุลาคม 2569 ว่าแคมเปญขโมย credential FortiBleed ยังเป็นภัยที่เกิดขึ้นอยู่ เป้าหมายคือไฟร์วอลล์ Fortinet FortiGate และเกตเวย์ SSL VPN ที่เปิดสู่อินเทอร์เน็ต ทั้งสองหน่วยงานระบุว่าแคมเปญนี้ “อาศัย credential ที่ใช้ซ้ำหรือรั่วไหล และการเก็บรหัสผ่านแบบ SHA-256 รุ่นเก่า” ทำให้ผู้โจมตีเก็บและแคร็กข้อมูลยืนยันตัวตนได้จำนวนมาก ผลการตรวจสอบเบื้องต้นพบว่าผู้โจมตียังสแกนไฟร์วอลล์ Fortinet ด้วย credential ที่เคยขโมยได้ก่อนหน้านี้ แคมเปญนี้เป็นของกลุ่มที่พูดภาษารัสเซีย และถึงวันที่ 19 มิถุนายน 2569 ได้ credential ของอุปกรณ์ที่ใช้งานได้จริงไปแล้วกว่า 86,644 ชุดใน 194 ประเทศ

ของใหม่ในคำเตือนครั้งนี้คือรายชื่อบัญชีที่ผู้โจมตีสร้างขึ้นบนไฟร์วอลล์เพื่อคงสิทธิ์ เช่น fortiAdmin, forticloud-sync และ support_fortinet ซึ่งตั้งชื่อให้ดูเหมือนบัญชีของผู้ผลิตหรือฝ่ายไอที อีกเรื่องคือคำเตือนว่าบางองค์กรอาจถูกล็อกออกจากอุปกรณ์ของตัวเอง เพราะผู้โจมตีลบหรือเปลี่ยนรหัสบัญชีเดิมเพื่อกันไม่ให้เจ้าของเข้าไปแก้ไข ระหว่างที่ผู้โจมตีกำลังเจาะลึกเข้าเครือข่ายภายใน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 7 ตุลาคม พ.ศ. 2569 ว่า FBI และ USSS เตือนว่า FortiBleed ยังเป็นภัยที่เกิดขึ้นอยู่ โดยอ้างคำเตือนของทั้งสองหน่วยงานว่า “ผลการตรวจสอบเบื้องต้นพบว่าผู้โจมตียังคงสแกนไฟร์วอลล์ Fortinet ที่เปิดสู่อินเทอร์เน็ต โดยใช้ credential ที่ขโมยได้ก่อนหน้านี้”

FortiBleed ถูกเปิดเผยครั้งแรกในเดือนมิถุนายน 2569 ตอนนั้นมีการพบเซิร์ฟเวอร์ที่เก็บ credential ของ Fortinet VPN จำนวนมาก (โพสต์ 06/123) ต่อมาบริษัท SOCRadar ระบุว่าผู้อยู่เบื้องหลังเป็นนายหน้าขายสิทธิ์เข้าถึงเครือข่าย (initial access broker หรือ IAB) ที่พูดภาษารัสเซีย ใช้เครื่องมือ FortigateSniffer (โพสต์ 06/158) และพบผู้ปฏิบัติการล็อกอินเข้าแผงเจรจาของแรนซัมแวร์ INC และ Lynx (โพสต์ 07/037) หลังจากนั้นหน่วยงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานสหรัฐฯ (CISA) แนะนำให้ลูกค้า FortiGate เปิดการยืนยันตัวตนแบบต้านฟิชชิง ตัดเซสชัน SSL VPN และเซสชันผู้ดูแลที่ค้างอยู่ รีเซ็ตรหัสผ่าน VPN และรหัสผู้ดูแล เปลี่ยนไปเก็บรหัสผ่านผู้ดูแลด้วยอัลกอริทึม PBKDF2 และตรวจล็อกหาร่องรอยผิดปกติ

ตัวเลขของแคมเปญนี้ในแต่ละรายงานวัดคนละอย่าง จึงไม่ควรนำมาเทียบกันตรง ๆ ตัวเลข 86,644 ในคำเตือนครั้งนี้คือ credential ของอุปกรณ์ที่ยืนยันแล้วว่าใช้งานได้ ส่วนตัวเลข 73,000 URL, เป้าหมาย 430,000 เครื่อง และ credential 110 ล้านชุดในรายงานก่อนหน้า คือจำนวนที่พบรั่ว จำนวนเครื่องที่ถูกสแกน และจำนวน credential ที่ดักได้ทั้งหมดตามลำดับ

วิธีการโจมตี

คำเตือนแบ่ง FortiBleed เป็น 5 ขั้น

1. สำรวจ สแกนหาพอร์ทัล FortiGate และ SSL VPN ที่เปิดสู่อินเทอร์เน็ตเป็นวงกว้าง
2. เข้าถึงอุปกรณ์ ใช้ credential stuffing และ password spraying ด้วยข้อมูลจากชุดข้อมูลรั่วเก่าและล็อกของอินโฟสตีลเลอร์
3. ดักข้อมูลยืนยันตัวตน วางเครื่องมือ FortigateSniffer ที่เขียนด้วยภาษา Go ดักทราฟฟิกยืนยันตัวตนแบบเงียบ ๆ ครอบคลุม 24 โพรโทคอล เก็บทั้ง credential และแฮชรหัสผ่าน
4. แคร็กและคัดกรอง ส่งแฮชเข้าคลัสเตอร์ GPU ที่ใช้ Hashcat และ Hashtopolis แคร็กแบบออฟไลน์ FBI ระบุว่า credential ที่แคร็กได้ “ถูกเติมข้อมูล จัดเรียง และตรวจสอบ ด้วยสคริปต์ที่กรอง honeypot ทิ้ง แมปว่าเป็นขององค์กรใด และจัดลำดับเป้าหมายมูลค่าสูงตามรายได้และโครงสร้างเครือข่าย”
5. ขยายผลและดูดข้อมูล ใช้ credential เคลื่อนที่ภายในเครือข่าย ไล่สำรวจ Active Directory ตรวจความถูกต้องผ่าน Kerberos ยืนยันตัวตนผ่าน SMB และพ่นรหัสผ่านต่อเพื่อหาบัญชีสิทธิ์สูง จากนั้นดึงข้อมูลสำคัญจาก network share และใช้คุกกี้เซสชันที่ขโมยมาคงการเข้าถึงแบบยืนยันตัวตนแล้ว

เพื่อคงสิทธิ์บนตัวไฟร์วอลล์ ผู้โจมตีสร้างบัญชีผู้ดูแลใหม่ที่ไม่เคยมีบนอุปกรณ์มาก่อน FBI และ USSS เตือนว่า “ในบางกรณี ผู้โจมตีลบบัญชีที่มีอยู่เดิมเพื่อกันไม่ให้องค์กรเข้าถึงอุปกรณ์ที่ได้รับผลกระทบ และเพื่อคงสิทธิ์บนระบบไว้ระหว่างพยายามเคลื่อนที่ภายในเครือข่าย” ส่วนเรื่องการขายต่อ หน่วยงานสงสัยว่าผู้โจมตีเป็น IAB ที่รวบรวมสิทธิ์เข้าถึงไปขายให้กลุ่มอื่น หลักฐานคือความเชื่อมโยงของผู้ปฏิบัติการกับ INC และ Lynx ซึ่งชี้ว่าสิทธิ์ที่ได้น่าจะถูกนำไปใช้วางแรนซัมแวร์

ผลกระทบ

ประเด็นสำคัญของคำเตือนนี้คือการแพตช์ไม่ได้ปิดปัญหา FortiBleed ไม่ได้อาศัยช่องโหว่ซอฟต์แวร์ แต่อาศัย credential ที่หลุดไปแล้วกับวิธีเก็บรหัสผ่านที่อ่อน อุปกรณ์ที่อัปเดตเฟิร์มแวร์ล่าสุดแล้วแต่ยังใช้รหัสผ่านเดิม ยังไม่บังคับ MFA หรือยังเก็บรหัสผู้ดูแลแบบ SHA-256 จึงยังเสี่ยงเท่าเดิม และการที่ผู้โจมตียังสแกนด้วย credential ชุดเก่าในเดือนตุลาคม แปลว่ามีองค์กรจำนวนมากพอที่ยังไม่ได้รีเซ็ตรหัสผ่านหลังข่าวเมื่อเดือนมิถุนายน

การสร้างบัญชีผู้ดูแลที่ตั้งชื่อเลียนแบบบัญชีของผู้ผลิต และการลบบัญชีเดิม ทำให้การตรวจพบช้าลงและการกู้คืนยากขึ้น องค์กรที่ถูกล็อกออกจากไฟร์วอลล์ของตัวเองจะเสียความสามารถในการตัดการเชื่อมต่อของผู้โจมตีในช่วงเวลาที่สำคัญที่สุด เมื่อรวมกับความเชื่อมโยงกับ INC และ Lynx ไฟร์วอลล์ที่ถูกยึดจึงควรถูกมองเป็นสัญญาณเตือนล่วงหน้าของแรนซัมแวร์ ไม่ใช่เหตุเฉพาะอุปกรณ์ตัวเดียว

คำแนะนำ

• รีเซ็ตรหัสผ่านผู้ดูแลและผู้ใช้ SSL VPN ทั้งหมดบน FortiGate แม้จะแพตช์แล้ว และตัดเซสชัน SSL VPN กับเซสชันผู้ดูแลที่ค้างอยู่ทั้งหมดหลังรีเซ็ต
• เปลี่ยนวิธีเก็บรหัสผ่านผู้ดูแลเป็น PBKDF2 แทน SHA-256 รุ่นเก่า และบังคับการยืนยันตัวตนแบบต้านฟิชชิงสำหรับทั้ง VPN และหน้าจัดการ
• ไล่ตรวจรายชื่อบัญชีผู้ดูแลบนไฟร์วอลล์เทียบกับรายชื่อในตาราง IoC ด้านล่าง และเทียบกับบัญชีที่ทีมไอทีสร้างเองจริง บัญชีที่ไม่มีที่มาให้ถือว่าอุปกรณ์ถูกยึด
• ปิดหน้าจัดการ FortiGate ไม่ให้เข้าจากอินเทอร์เน็ต และจำกัดให้เข้าได้จากเครือข่ายจัดการเท่านั้น
• เก็บ config และบัญชี break-glass ของไฟร์วอลล์ไว้นอกอุปกรณ์ และเตรียมขั้นตอนเข้าทางคอนโซลไว้ล่วงหน้า เผื่อถูกลบบัญชีจนล็อกอินไม่ได้
• ฝั่งเครือข่ายภายใน ให้เฝ้าระวัง password spraying การยืนยันตัวตน Kerberos และ SMB ที่มาจากช่วง IP ของ VPN และการเข้าถึง network share ปริมาณมากผิดปกติ
• หากพบว่าถูกเจาะ ให้แยกอุปกรณ์ เก็บล็อกและหลักฐานก่อนแก้ไข แล้วถือว่า credential ทุกชุดที่วิ่งผ่านไฟร์วอลล์นั้นรั่วแล้ว

Indicators of Compromise (IoCs)

หมายเหตุ: รายการด้านล่างเป็นชื่อบัญชีที่ FBI และ USSS ระบุว่าพบบ่อยบนอุปกรณ์ที่ถูกเจาะ บางชื่อ เช่น admin อาจเป็นบัญชีปกติขององค์กร ต้องตรวจวันที่สร้างและที่มาของบัญชีประกอบเสมอ

แหล่งอ้างอิง

• FBI Warns FortiBleed Remains Active After Amassing 86,644 Fortinet Device Credentials — The Hacker News
• FBI/USSS Cybersecurity Advisory 261006 — FBI IC3