FBI alerta para campanha ativa contra firewalls da Fortinet
O FBI e o Serviço Secreto dos Estados Unidos alertaram que uma campanha de roubo de credenciais continua em andamento e tem como alvo firewalls FortiGate e gateways de VPN SSL acessíveis pela internet. Identificada como FortiBleed, a operação busca obter acesso a esses dispositivos e, depois, assumir o controle das redes protegidas por eles.
A dimensão da atividade preocupa: até 19 de junho, os responsáveis haviam coletado 86.644 credenciais válidas associadas a equipamentos localizados em 194 países. A abrangência indica que a campanha não se limita a organizações específicas. Os operadores varrem a internet à procura de dispositivos expostos e tentam aproveitar combinações de usuário e senha que já conhecem.
Entre os métodos empregados estão tentativas automatizadas com credenciais conhecidas ou reutilizadas. Os invasores também recorrem ao FortigateSniffer, uma ferramenta desenvolvida em Go capaz de interceptar processos de autenticação em 24 protocolos. Outra frente é a quebra de senhas com auxílio de placas de vídeo, que aceleram a análise de grandes volumes de combinações.
O risco aumenta quando as senhas foram reaproveitadas em outros serviços ou já apareceram em vazamentos. Também pode contribuir o armazenamento legado de senhas usando SHA-256, que, dependendo da configuração e das proteções aplicadas, permite que um invasor tente decifrar os dados fora do equipamento comprometido. Por isso, uma senha que pareça complexa não oferece proteção suficiente se já tiver sido exposta ou for usada em mais de um sistema.
A invasão não termina necessariamente com a descoberta de uma senha. Depois de entrar no firewall, os operadores podem criar contas administrativas não autorizadas. Em alguns casos, removem as contas legítimas, impedindo que a equipe responsável acesse o próprio dispositivo. Nessa situação, apenas trocar a senha pode não resolver o problema: é preciso identificar alterações feitas no equipamento e recuperar o controle administrativo com segurança.
As agências americanas documentaram a campanha pela primeira vez em junho e divulgaram o alerta em 7 de outubro. Segundo elas, os operadores continuam procurando firewalls Fortinet expostos à internet. O intervalo entre a identificação inicial e o aviso reforça a importância de verificar os registros e as configurações dos dispositivos, mesmo que não haja sinais evidentes de invasão.
Como reduzir o risco
A primeira providência é revisar quais firewalls e gateways de VPN podem ser acessados externamente. Serviços de administração não devem permanecer expostos sem necessidade. Sempre que possível, o acesso de gestão deve ser restrito a redes confiáveis ou a endereços previamente autorizados, além de ser protegido por autenticação multifator.
Também é essencial instalar as atualizações de segurança disponibilizadas pelo fabricante e confirmar se os equipamentos utilizam versões suportadas. Atualizar o firmware não elimina, por si só, todos os riscos, mas reduz a exposição a vulnerabilidades conhecidas. O processo deve ser acompanhado de uma cópia de segurança da configuração e de um plano de recuperação, para evitar que uma falha durante a atualização comprometa a operação.
As organizações devem substituir senhas padrão, fracas ou reutilizadas por credenciais longas e exclusivas. Senhas de administração do firewall não devem ser iguais às usadas em e-mail, VPN ou outros serviços. Quando houver suspeita de exposição, é recomendável trocar as credenciais a partir de um dispositivo confiável e revisar também as contas de serviço e os usuários com privilégios elevados.
A investigação deve incluir a busca por contas administrativas desconhecidas, alterações inesperadas nas regras de firewall, mudanças nos parâmetros de VPN e conexões que não correspondam ao padrão habitual. Registros de autenticação e de administração podem ajudar a determinar quando o acesso ocorreu e quais ações foram executadas. Manter esses registros em um ambiente separado do equipamento monitorado dificulta que invasores os apaguem junto com outras evidências.
Se uma conta legítima tiver sido removida ou houver indícios de que o atacante controla o dispositivo, a equipe não deve tratar o incidente como uma simples redefinição de senha. O equipamento precisa ser isolado de forma controlada, preservando as evidências necessárias, e submetido a um processo de recuperação. As configurações devem ser verificadas antes de restabelecer a conexão, pois regras maliciosas podem continuar permitindo o acesso mesmo após a troca das credenciais.
Por fim, a resposta precisa considerar toda a rede, não apenas o firewall. Um dispositivo de borda comprometido pode servir de caminho para outros sistemas internos. Revisar acessos remotos, verificar a atividade de contas privilegiadas e monitorar conexões incomuns ajuda a identificar possíveis consequências da invasão. A combinação de atualizações, acesso administrativo restrito, senhas exclusivas e monitoramento contínuo reduz a chance de que uma credencial roubada se transforme em controle persistente sobre a infraestrutura.