{"id":1282,"date":"2026-06-23T20:50:03","date_gmt":"2026-06-23T20:50:03","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/23\/fortibleed-apunto-a-los-firewalls-fortigate-en-una-operacion-de-recoleccion-de-110-millones-de-credenciales-cyberdefensa-mx\/"},"modified":"2026-06-23T20:50:03","modified_gmt":"2026-06-23T20:50:03","slug":"fortibleed-apunto-a-los-firewalls-fortigate-en-una-operacion-de-recoleccion-de-110-millones-de-credenciales-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/23\/fortibleed-apunto-a-los-firewalls-fortigate-en-una-operacion-de-recoleccion-de-110-millones-de-credenciales-cyberdefensa-mx\/","title":{"rendered":"FortiBleed apunt\u00f3 a los firewalls FortiGate en una operaci\u00f3n de recolecci\u00f3n de 110 millones de credenciales \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Se considera que un corredor de acceso inicial (IAB) de habla rusa impulsado por ganancias financieras est\u00e1 detr\u00e1s de una operaci\u00f3n de recolecci\u00f3n de credenciales a gran escala conocida como <b>FortiBleed<\/b> que se ha dirigido a m\u00e1s de 430.000 firewalls FortiGate en todo el mundo.<\/p>\n<p>La campa\u00f1a, activa desde febrero de 2026, implica recopilar listas de credenciales, buscar servicios expuestos, forzar sistemas accesibles por fuerza bruta e implementar rastreadores personalizados en firewalls comprometidos.<\/p>\n<p>\u00abUna vez implementados, estos rastreadores capturan texto sin cifrar y credenciales hash del tr\u00e1fico que pasa a trav\u00e9s de dispositivos comprometidos\u00bb, SOCRadar <a href=\"https:\/\/socradar.io\/wp-content\/uploads\/2026\/06\/Dismantling-FortiBleed.pdf\">dicho<\/a> [PDF]  en un nuevo informe. \u00abLuego, los actores descifran, validan y reutilizan las credenciales en dominios de Active Directory y otros servicios expuestos\u00bb.<\/p>\n<p>Central para la operaci\u00f3n es una herramienta basada en Golang llamada <b>FortigateSniffer <\/b>que aprovecha el comando de diagn\u00f3stico integrado de FortiOS: diagnosticar el paquete de rastreo para capturar pasivamente el tr\u00e1fico de autenticaci\u00f3n de los dispositivos infectados. La herramienta est\u00e1 dise\u00f1ada para monitorear el tr\u00e1fico a trav\u00e9s de 24 protocolos, analizar datos de autenticaci\u00f3n y extraer las credenciales.<\/p>\n<p>Se sospecha que los actores de amenazas pueden haber buscado la ayuda de una plataforma de seguridad ofensiva de c\u00f3digo abierto nativa de IA denominada <a href=\"https:\/\/github.com\/CyberStrikeus\/CyberStrike\">ciberataque<\/a> para ayudar con algunas \u00abpartes del flujo de trabajo\u00bb. Curiosamente, se utiliz\u00f3 otro marco de c\u00f3digo abierto llamado CyberStrikeAI en relaci\u00f3n con otra campa\u00f1a de escaneo masivo automatizado dirigida a dispositivos FortiGate que Amazon Threat Intelligence expuso a principios de este a\u00f1o. <\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abLa campa\u00f1a muestra un fuerte enfoque en las peque\u00f1as y medianas empresas (PYMES) con menos de 200 empleados\u00bb, explic\u00f3 SOCRadar. \u00abEl actor apunta a m\u00faltiples sectores y regiones, con notable \u00e9nfasis en los Estados Unidos y la India. El sector de servicios de TI parece ser un objetivo clave. Esta elecci\u00f3n de orientaci\u00f3n probablemente ayude al actor a maximizar el acceso posterior, ya que los proveedores de servicios comprometidos pueden crear rutas de acceso a los entornos de los clientes\u00bb.<\/p>\n<p>Quiz\u00e1s el hallazgo m\u00e1s interesante es que FortiBleed parece ser parte de una operaci\u00f3n de acceso inicial m\u00e1s amplia y de m\u00faltiples proveedores que est\u00e1 orquestada no solo para apuntar a dispositivos Fortinet, sino tambi\u00e9n para violar Synology NAS, firewalls de Sophos, portales RDWeb, Citrix SSL-VPN y servidores MS-SQL utilizando fuerza bruta automatizada desde el 28 de febrero de 2026.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhZZyYbrLcpVz_CoSfqeQXURaddHErJYJte9jiJC2E9d_OThVClTl-Lu53FHSyEGDOTOSs6KLkcrHPXNwBPiU9Nn02KBNNvkcdm-N-sdP7i1TLqyb4iIak96JmKs4FY-PBLDquXpxCYc32TXpaet5qYdHuALHf0sPp6TtMmwLzKvkjPxZ7EDzoQnS5zQfZJ\/s1700-e365\/fort.jpg\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhZZyYbrLcpVz_CoSfqeQXURaddHErJYJte9jiJC2E9d_OThVClTl-Lu53FHSyEGDOTOSs6KLkcrHPXNwBPiU9Nn02KBNNvkcdm-N-sdP7i1TLqyb4iIak96JmKs4FY-PBLDquXpxCYc32TXpaet5qYdHuALHf0sPp6TtMmwLzKvkjPxZ7EDzoQnS5zQfZJ\/s1700-e365\/fort.jpg\" alt=\"\" border=\"0\" data-original-height=\"531\" data-original-width=\"1095\"\/><\/a><\/div>\n<p>En total, se estima que los atacantes lanzaron no menos de 659 canales de recolecci\u00f3n de credenciales el 31 de mayo y el 15 de junio de 2026, lo que result\u00f3 en la identificaci\u00f3n de m\u00e1s de 110 millones de credenciales. Esto incluy\u00f3 \u2013<\/p>\n<ul>\n<li>14,8 millones de credenciales del Servicio de autenticaci\u00f3n remota telef\u00f3nica de usuario (RADIUS)<\/li>\n<li>924.000 hashes NTLM<\/li>\n<li>130.000 hash Kerberos<\/li>\n<li>89 millones de tokens de autenticaci\u00f3n MySQL<\/li>\n<\/ul>\n<p>La campa\u00f1a FortiBleed se desarrolla en cinco etapas:<\/p>\n<ul>\n<li>Realice un reconocimiento generalizado utilizando herramientas como Masscan y Shodan para identificar firewalls FortiGate vulnerables orientados a Internet, seguido de una utilidad personalizada denominada FortiProbe-fast y GeoSplit para filtrar los sistemas FortiGate y agruparlos por pa\u00eds, respectivamente.<\/li>\n<li>Comprometa los dispositivos con un verificador de credenciales llamado \u00abforticheck\u00bb que apunta espec\u00edficamente al panel administrativo de FortiGate y al portal SSL-VPN, adem\u00e1s de usar herramientas para obtener acceso SSH administrativo mediante ataques de diccionario y relleno de credenciales.<\/li>\n<li>Al establecer el acceso a trav\u00e9s de SSH, FortigateSniffer se implementa para interceptar pasivamente el tr\u00e1fico de autenticaci\u00f3n a trav\u00e9s de 24 protocolos (por ejemplo, TACACS+, Kerberos, RPC, SMB, LDAP, SMTP, FTP, Telnet, RDP, WinRM, MS-SQL, MySQL, PostgreSQL y RADIUS) utilizando comandos de diagn\u00f3stico nativos de FortiOS, lo que permite recopilar credenciales de texto sin cifrar y hashes de contrase\u00f1as.<\/li>\n<li>Los hashes de contrase\u00f1as se descifran usando Hashmat y Hashtopolis, y son orquestados por un bot de Telegram llamado HASHBOT, despu\u00e9s de lo cual se usan para el movimiento lateral y la enumeraci\u00f3n de Active Directory.<\/li>\n<li>Los datos confidenciales de los recursos compartidos de la red se extraen mientras que las cookies de sesi\u00f3n robadas se utilizan para mantener un acceso persistente y autenticado.<\/li>\n<\/ul>\n<p>\u00abEl grupo no trata a todos los objetivos por igual\u00bb, dijo SOCRadar. \u00abEn cambio, los objetivos se clasifican seg\u00fan su valor econ\u00f3mico antes de asignar los recursos de explotaci\u00f3n\u00bb.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-threat-report-m\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhFlTC7RrRZGiFAgASS0noWSL0qsQGFVp8-Hvuw9yp3X3VKRuTcb5SsPX09wJzrdIM6pu1_5lS4EeZp7Sx4iYBpNJkrGnpr08yyaS1HQ5_5TxaCsP6O0OtHNuOkesn6CbNjao1GPulCJk-uljYMSfMZfBYNrngpe669t7jlRn1FqiEnXhsFD1WVkpaYIVgh\/s728-e100\/ai-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Es m\u00e1s, el mecanismo de rastreo incluye un filtro de geocerca que restringe las operaciones a rangos de IP espec\u00edficos, sin mencionar que limita la actividad entre las 7 am y las 6 pm, hora de Mosc\u00fa. Seg\u00fan datos <a href=\"https:\/\/spycloud.com\/blog\/what-spycloud-found-inside-the-fortibleed-threat-actor-infrastructure\/\">capturado<\/a> Seg\u00fan SpyCloud, se dice que el ciclo de captura relacionado con FortiGate comenz\u00f3 el 19 de mayo de 2026, y la infraestructura de descifrado de hash se instal\u00f3 hacia finales de mes.<\/p>\n<p>\u00abLa operaci\u00f3n se ejecuta en ciclos de 300 minutos (cinco horas), con estado cada minuto\u00bb, dijo Zenox. \u00abEn cada ciclo carga una lista de objetivos regionales [\u2026] y valida con 1000 subprocesos simult\u00e1neos, mostrando contadores de \u00e9xito, fracaso, tiempo de espera y advertencia. En los primeros ciclos, la tasa de validaci\u00f3n exitosa rondaba el 90%.\u00bb<\/p>\n<p>La compa\u00f1\u00eda brasile\u00f1a de ciberseguridad tambi\u00e9n dijo que encontr\u00f3 ciertos pares de nombre de usuario y contrase\u00f1a repetidos en miles de direcciones IP distintas, lo que plantea la posibilidad de que el atacante haya colocado las cuentas como un punto de entrada clandestino.<\/p>\n<p>El desarrollo surge como una cuenta en ruso llamada \u00ab<a href=\"https:\/\/spycloud.com\/blog\/what-spycloud-found-inside-the-fortibleed-threat-actor-infrastructure\/\">Pap\u00e1 Noel<\/a>\u00bb tiene <a href=\"https:\/\/socradar.io\/blog\/fortibleed-sens-unique-paris-libsodium-dos\/\">anunciado<\/a> acceso a miles de dispositivos Fortinet por un precio inicial de 30.000 d\u00f3lares, antes de aumentarlo a 60.000 d\u00f3lares horas despu\u00e9s. Sin embargo, no est\u00e1 claro si esto tiene alguna conexi\u00f3n con la exposici\u00f3n a FortiBleed.<\/p>\n<p>\u00abEl grupo de actores de amenazas detr\u00e1s de &#8216;FortiBleed&#8217; no solo apuntaba a las VPN FortiGate\u00bb, dijo SpyCloud. \u00abEn realidad, estaban apuntando a una variedad de diferentes dispositivos conectados a Internet con una cadena de ataque est\u00e1ndar de rociar y rezar que se basa principalmente en escaneos masivos e inicios de sesi\u00f3n por fuerza bruta\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Se considera que un corredor de acceso inicial (IAB) de habla rusa impulsado por ganancias financieras est\u00e1 detr\u00e1s de una operaci\u00f3n de recolecci\u00f3n de credenciales a gran escala conocida como FortiBleed que se ha dirigido a m\u00e1s de 430.000 firewalls FortiGate en todo el mundo. La campa\u00f1a, activa desde febrero de 2026, implica recopilar listas [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[3276,469,24,2066,3208,379,52,239,461,3277,132],"class_list":["post-1282","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-apunto","tag-credenciales","tag-cyberdefensa-mx","tag-firewalls","tag-fortibleed","tag-fortigate","tag-los","tag-millones","tag-operacion","tag-recoleccion","tag-una"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1282","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1282"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1282\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1282"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1282"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1282"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}