Rusça konuşan ve mali amaçlarla hareket eden bir ilk erişim komisyoncusu (IAB), FortiBleed adıyla anılan büyük çaplı bir kimlik bilgisi toplama operasyonunun arkasında olduğu değerlendiriliyor. Söz konusu operasyon, dünya genelinde 430 binden fazla FortiGate güvenlik duvarını hedef aldı.
Şubat 2026'dan bu yana süren saldırılarda saldırganlar; hazır kimlik bilgisi listelerinden yararlandı, internete açık servisleri taradı, erişilebilir sistemlere kaba kuvvet saldırıları düzenledi ve ele geçirilen güvenlik duvarlarına özel geliştirilmiş dinleme araçları (sniffer) yerleştirdi.
SOCRadar'ın yayımladığı rapora göre bu dinleme araçları, ele geçirilen cihazların üzerinden geçen trafikten açık metin ve hash'lenmiş kimlik bilgilerini yakalıyor. Saldırganlar daha sonra bu kimlik bilgilerini kırıyor, doğruluğunu test ediyor ve Active Directory sistemleriyle internete açık diğer servislere karşı yeniden kullanıyor.
Operasyonun merkezinde, FortigateSniffer adlı Golang tabanlı bir araç yer alıyor. Bu araç, FortiOS'un yerleşik tanılama komutu olan diagnose sniffer packet komutunu istismar ederek virüslü cihazlardan geçen kimlik doğrulama trafiğini pasif biçimde ele geçiriyor. Hem Windows hem de Unix sürümü bulunan araç, 24 farklı protokoldeki trafiği izleyecek şekilde tasarlandı.
