Un courtier d’accès initial (IAB) russophone motivé par le gain financier serait à l’origine d’une opération de collecte d’identifiants à grande échelle connue sous le nom de FortiBleed , qui a ciblé plus de 430 000 pare-feu FortiGate dans le monde.

La campagne , active depuis février 2026, consiste à collecter des listes d’identifiants, à rechercher des services exposés, à attaquer par force brute les systèmes accessibles et à déployer des renifleurs sur mesure sur les pare-feu compromis.

« Une fois déployés, ces renifleurs capturent les identifiants en clair et hachés du trafic transitant par les appareils compromis », indique SOCRadar [PDF] dans un récent rapport. « Les pirates déchiffrent, valident et réutilisent ensuite ces identifiants sur les domaines Active Directory et d’autres services exposés. »

Au cœur de cette opération se trouve un outil développé en Go, appelé FortigateSniffer, qui exploite la commande de diagnostic intégrée de FortiOS, `-diagnose sniffer packet`, pour capturer passivement le trafic d’authentification des équipements infectés. Cet outil est conçu pour surveiller le trafic sur 24 protocoles, analyser les données d’authentification et extraire les identifiants.

On soupçonne les auteurs de la menace d’avoir eu recours à CyberStrike , une plateforme de sécurité offensive open source basée sur l’IA , pour certaines étapes de leur opération. Il est intéressant de noter qu’un autre framework open source, CyberStrikeAI, a été utilisé dans le cadre d’ une autre campagne d’analyse massive automatisée ciblant les dispositifs FortiGate, révélée par Amazon Threat Intelligence en début d’année. 

« La campagne cible principalement les petites et moyennes entreprises (PME) de moins de 200 employés », explique SOCRadar. « L’acteur vise plusieurs secteurs et régions, notamment les États-Unis et l’Inde. Le secteur des services informatiques semble être une cible prioritaire. Ce ciblage précis lui permet probablement d’optimiser son accès aux clients, car les fournisseurs de services compromis peuvent créer des points d’entrée vers leurs systèmes. »

La découverte la plus intéressante est peut-être que FortiBleed semble faire partie d’une opération d’accès initial plus vaste, impliquant plusieurs fournisseurs, orchestrée pour cibler non seulement les appareils Fortinet, mais aussi les NAS Synology, les pare-feu Sophos, les portails RDWeb, les VPN SSL Citrix et les serveurs MS-SQL à l’aide d’une attaque par force brute automatisée depuis le 28 février 2026.

Au total, on estime que les attaquants ont lancé pas moins de 659 pipelines de collecte d’identifiants entre le 31 mai et le 15 juin 2026, ce qui a permis d’identifier plus de 110 millions d’identifiants. Parmi ceux-ci :

• 14,8 millions d’identifiants RADIUS (Remote Authentication Dial-In User Service)
• 924 000 hachages NTLM
• 130 000 hachages Kerberos
• 89 millions de jetons d’authentification MySQL

La campagne FortiBleed se déroule en cinq étapes –

• Effectuez une reconnaissance à grande échelle à l’aide d’outils comme Masscan et Shodan pour identifier les pare-feu FortiGate vulnérables exposés à Internet, puis utilisez un utilitaire personnalisé appelé FortiProbe-fast et GeoSplit pour filtrer les systèmes FortiGate et les regrouper par pays, respectivement.
• Compromettre les appareils avec un vérificateur d’identifiants nommé « forticheck » qui cible spécifiquement le panneau d’administration et le portail SSL-VPN de FortiGate, ainsi qu’avec des outils permettant d’obtenir un accès SSH administratif via le bourrage d’identifiants et les attaques par dictionnaire.
• Une fois l’accès établi via SSH, FortigateSniffer est déployé pour intercepter passivement le trafic d’authentification sur 24 protocoles (par exemple TACACS+, Kerberos, RPC, SMB, LDAP, SMTP, FTP, Telnet, RDP, WinRM, MS-SQL, MySQL, PostgreSQL et RADIUS) à l’aide de commandes de diagnostic natives FortiOS, permettant ainsi de récupérer les identifiants en clair et les hachages de mots de passe.
• Les hachages de mots de passe sont déchiffrés à l’aide de Hashmat et Hashtopolis, et orchestrés par un bot Telegram nommé HASHBOT, après quoi ils sont utilisés pour le déplacement latéral et l’énumération Active Directory.
• Des données sensibles provenant de partages réseau sont exfiltrées tandis que des cookies de session volés sont utilisés pour maintenir un accès persistant et authentifié.

« Le groupe ne traite pas toutes les cibles de la même manière », a déclaré SOCRadar. « Au contraire, les cibles sont classées selon leur valeur économique avant l’allocation des ressources d’exploitation. »

De plus, le système d’écoute comprend un filtre de géorepérage qui restreint les opérations à des plages d’adresses IP spécifiques, et limite l’activité entre 7 h et 18 h, heure de Moscou. Selon les données recueillies par SpyCloud, le cycle de capture lié à FortiGate aurait débuté le 19 mai 2026, l’infrastructure de décryptage de hachages ayant été mise en place vers la fin du mois.

« L’opération s’exécute par cycles de 300 minutes (cinq heures), avec un suivi de l’état toutes les minutes », a déclaré Zenox. « À chaque cycle, elle charge une liste de cibles régionales […] et effectue une validation simultanée avec 1 000 threads, en affichant des compteurs de succès, d’échecs, de délais d’attente et d’avertissements. Lors des premiers cycles, le taux de validation réussi avoisinait les 90 %. »

L’entreprise brésilienne de cybersécurité a également déclaré avoir constaté que certaines paires nom d’utilisateur/mot de passe se répétaient sur des milliers d’adresses IP distinctes, ce qui laisse supposer que les comptes ont été créés par l’attaquant comme point d’entrée clandestin.

Cette information survient alors qu’un compte russophone nommé « SantaAd » propose l’accès à des milliers d’appareils Fortinet pour un prix initial de 30 000 $, avant de le faire passer à 60 000 $ quelques heures plus tard. On ignore cependant si cela a un lien quelconque avec la faille FortiBleed.

« Le groupe de cybercriminels à l’origine de “FortiBleed” ne ciblait pas uniquement les VPN FortiGate », a déclaré SpyCloud. « Ils visaient en réalité toute une gamme d’équipements connectés à Internet avec une chaîne d’attaques standard de type “spray-and-pray” qui repose principalement sur des analyses de masse et des attaques par force brute. »