FortiBleed Siber Saldırı Kampanyası: Fortinet Güvenlik Duvarları Üzerinde Yetkisiz Erişim ve Yönetici Hesaplarının Ele Geçirilmesi

Siber güvenlik dünyasında dikkat çeken FortiBleed saldırı kampanyası, Fortinet

FortiGate güvenlik duvarlarını ve SSL VPN altyapılarını hedef almaya devam ediyor. Haziran 2026'dan bu yana devam eden saldırılarda, tehdit aktörlerinin ele geçirdikleri kimlik bilgilerini kullanarak cihazlara yetkisiz erişim sağladığı ve bazı kuruluşların kendi güvenlik sistemleri üzerindeki yönetim yetkilerini kaybetmesine neden olduğu bildirildi.

ABD Federal Soruşturma Bürosu (FBI) ve ABD Gizli Servisi (USSS) tarafından 6 Ekim 2026 tarihinde yayımlanan ortak güvenlik duyurusunda, saldırganların mevcut yönetici hesaplarının parolalarını değiştirdiği, hesapları sildiği ve yeni yetkili hesaplar oluşturarak sistemlerde kalıcı erişim sağlamaya çalıştığı açıklandı.

SOCRadar tarafından paylaşılan araştırma bulgularına göre, kampanya kapsamında 194 ülkede 86.644'ten fazla Fortinet cihazının ele geçirildiği doğrulandı.

Bu gelişmeler, internete açık ağ güvenliği sistemlerinin yetersiz kimlik doğrulama kontrolleriyle birlikte ciddi bir kurumsal güvenlik riski oluşturabileceğini ortaya koyuyor.

FortiBleed kampanyasının temelinde, daha önceki güvenlik olaylarından elde edilen kimlik bilgilerinin yeniden kullanılması ve zayıf kimlik doğrulama mekanizmalarının istismar edilmesi bulunuyor.

Saldırganlar ilk aşamada internete açık FortiGate yönetim arayüzlerini ve SSL VPN servislerini tespit ederek erişilebilir sistemleri belirliyor.

Ardından Credential Stuffing, Password Spraying ve Brute-Force teknikleri aracılığıyla geçerli kullanıcı adı ve parola kombinasyonlarını tespit etmeye çalışıyor.

Araştırmalar, saldırganların bazı sistemlerden elde ettikleri parola özetlerini (Password Hash) GPU destekli altyapılar üzerinde Hashcat ve Hashtopolis gibi araçlarla çevrimdışı olarak kırmaya çalıştığını da gösteriyor.

Geçerli kimlik bilgileri elde edildikten sonra saldırganlar, cihazlarda yeni yönetici hesapları oluşturarak yetkisiz erişimlerini sürdürebiliyor. Bazı olaylarda ise mevcut yönetici hesapları siliniyor veya parolaları değiştirilerek sistem yöneticilerinin cihazlara erişmesi engelleniyor.

Elde edilen erişim, yalnızca güvenlik duvarıyla sınırlı kalmayabiliyor. Saldırganların Active Directory ortamlarını analiz ederek yetkili hesapları belirlemeye ve kurum içi sistemlere yatay hareket (Lateral Movement) gerçekleştirmeye çalıştığı da raporlandı.

FortiBleed kampanyasının ayrıca ilk erişim aracılığı (Initial Access Broker) modeliyle bağlantılı olduğu ve ele geçirilen VPN erişimlerinin diğer tehdit aktörlerine sunulabildiği belirtiliyor. Bu erişimlerin INC/Lynx ve Payload fidye yazılımı faaliyetlerinde kullanılabildiği bildiriliyor.

Bu tip saldırılardan korunmak için almamız gereken tedbirlerin bazıları;

• FortiGate yönetim arayüzlerinin internete açık erişimlerinin sınırlandırılması ve yönetim bağlantılarının güvenilir IP adresleriyle kısıtlanması.

• Yönetici ve VPN hesaplarında güçlü parola politikalarının uygulanması ve kimlik avına dayanıklı çok faktörlü kimlik doğrulama (MFA) mekanizmalarının etkinleştirilmesi.

• Mevcut yönetici hesaplarının, VPN kullanıcılarının ve API anahtarlarının düzenli olarak denetlenerek yetkisiz değişikliklerin araştırılması.

• FortiGate yapılandırmalarının güvenilir yedeklerle karşılaştırılması ve şüpheli hesap oluşturma faaliyetlerinin incelenmesi.

• Güvenlik duvarı, VPN ve Active Directory günlüklerinin merkezi SIEM sistemlerinde izlenmesi ve olağan dışı oturum açma faaliyetlerine yönelik alarm mekanizmalarının oluşturulması.

• FortiOS sürümlerinin üretici tavsiyelerine uygun şekilde güncellenmesi ve yönetici parolalarının saklanmasında PBKDF2 gibi daha güvenli yöntemlerin kullanılması.

• Olası ihlal durumlarında yalnızca parola değişikliğiyle yetinilmeyerek saldırganın kalıcılık mekanizmalarının, aktif oturumlarının ve kurum içi erişimlerinin kapsamlı biçimde araştırılması.

  
  

Detaylı bilgi için ticket@zerosecond.com.tr adresinden uzmanlarımıza başvurabilirsiniz.