這是一次由俄語區初始訪問代理商（Initial Access Broker, IAB）主導的大規模攻擊行動，被命名為 FortiBleed。所謂的 IAB 是網路犯罪生態系中的中間商，他們專門負責尋找企業網路的漏洞並獲取初步進入權限，隨後將這些權限賣給其他勒索軟體組織或駭客。
這次攻擊的核心目標是 FortiGate 防火牆，但其影響範圍遠超單一產品，最終導致超過 1.1 億筆憑證外流。對於工程師來說，這次攻擊最值得關注的不是某個特定的 CVE 漏洞，而是攻擊者如何將系統內建的診斷工具轉化為強大的監控武器。
攻擊的核心技術：將診斷指令武器化
在 FortiOS（FortiGate 的作業系統）中，有一個內建的診斷指令叫做 diagnose sniffer packet。這個功能原本是給網路工程師用來排除故障、分析封包流量的合法工具。然而，攻擊者開發了一款基於 Golang 的工具 FortigateSniffer，將此指令自動化。
一旦攻擊者取得防火牆的管理權限，他們會部署這個 Sniffer。它不再是用來除錯，而是像一個隱形的竊聽器，被動地監控通過防火牆的所有流量。它能識別 24 種不同的通訊協定（包括 LDAP、SMB、MySQL、RADIUS 等），並從中解析出明文憑證或密碼雜湊值（Password Hashes）。
這意味著，即使你的防火牆本身沒有被漏洞攻破，只要攻擊者控制了設備，他們就能在不干擾網路運行的情況下，靜默地收集所有經過該設備的用戶帳號與密碼。
FortiBleed 的五個攻擊階段
這次行動展現了極高的工業化水準，整個流程像生產線一樣精準：
第一階段：大規模偵察 利用 Masscan 和 Shodan 等掃描工具，在全球範圍內尋找暴露在公網上的 FortiGate 設備，並透過自製工具 FortiProbe-fast 和 GeoSplit 依照國家對目標進行分組。
第二階段：獲取初始權限 使用名為 forticheck 的工具，針對管理後台和 SSL-VPN 門戶進行憑證填充（Credential Stuffing）或字典攻擊。簡單來說，就是利用之前在其他地方洩漏的密碼庫，嘗試暴力破解進入設備。
第三階段：部署監控工具 一旦透過 SSH 取得管理權限，立即安裝 FortigateSniffer。利用前述的診斷指令，開始截獲經過設備的各種認證流量。
第四階段：憑證破解與驗證 截獲的密碼雜湊值會被送往後端由 Hashmat 和 Hashtopolis 等工具破解，並透過一個名為 HASHBOT 的 Telegram 機器人進行協調管理。
第五階段：橫向移動與滲透 利用破解出的憑證，攻擊者會嘗試進入企業內部的 Active Directory（AD 網域控制站）或其他敏感服務，從而實現從邊界設備到核心內網的全面滲透。
攻擊者的戰術特點與限制
這次攻擊展現了幾個非常狡猾的特徵，旨在規避安全監控：
時間與地理圍欄 攻擊者將活動時間限制在莫斯科時間上午 7 點到下午 6 點，且針對特定 IP 範圍設置地理圍欄（Geofencing），避免觸發異常流量警報。
目標價值分級 他們並非隨機攻擊，而是會根據目標的經濟價值對企業進行分級，優先分配資源給高價值目標。
針對供應鏈的策略 攻擊者特別關注員工數 200 人以下的中小型企業（SMB），尤其是 IT 服務供應商。這是因為一旦攻陷一家 IT 服務商，就能利用其管理權限直接進入數十家客戶的環境，達到事半功倍的效果。
實務上的防禦建議
面對這種利用合法診斷功能進行攻擊的案例，傳統的漏洞補丁可能不足夠。建議採取以下措施：
強化管理介面存取控制 嚴格限制管理後台（Administrative Panel）與 SSH 的存取來源，禁止將管理介面直接暴露在公網，應僅允許透過受控的跳板機或特定 VPN 存取。
實施多因素認證（MFA） 由於攻擊者大量使用憑證填充和暴力破解，強制啟用 MFA 可以有效攔截絕大多數的初始進入嘗試。
監控異常的診斷指令執行 在日誌監控中，應將 diagnose sniffer packet 等高權限診斷指令的執行列為高風險事件。如果發現非維護時段有大量封包擷取行為，應立即視為被入侵。
定期輪換高權限帳號密碼 針對 RADIUS、LDAP 等核心認證服務，應定期更換密碼並禁用弱密碼，減少雜湊值被破解後的利用價值。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。