FortiBleedの攻撃者、認証情報盗むためカスタムFortiGateスニッファを使用か

FortiBleedの攻撃者、認証情報盗むためカスタムFortiGateスニッファを使用：SOCRadarが報告

BleepingComputer – June 22, 2026

Fortinet FortiGateデバイスを狙う大規模キャンペーン「FortiBleed」では、侵害されたファイアウォールから認証情報を盗み取るためのカスタムスニッファが使用されていたと、セキュリティ企業SOCRadarが報告。Fortinet自身は6月19日のFortiBleedに関する声明で、新たな脆弱性やインシデントというより過去にすでに侵害されていた漏洩認証情報を集めたデータベースであると述べていたものの、SocRadarの報告はこのキャンペーンが現在進行形でFortiGate VPNデバイスを侵害していることを示唆している。

FortiBleedは漏洩Fortinet VPN認証情報を集めたデータ集で、含まれる認証情報は世界各地のファイアウォールURL8万件超に紐づくものだとされる。Fortinetデバイスのほか、パロアルトネットワークスのUnit 42は、MSSQLデバイスを標的にしようとする試みも観測した旨、またSophosデバイスが標的になっているとする報告を観測した旨を明かしている。

SOCRadarによればこのキャンペーンは2026年2月から行われており、標的になったFortiGateファイアウォールは世界に43万台以上あるという。

SOCRadarがFortiBleedに関して新たに報告した調査結果の1つが、これらの認証情報を収集するためにGo言語ベースのツール「FortigateSniffer」が使われていたというもの。このツールはFortiOSに内蔵されている診断用スニッファパケット機能「diagnose sniffer packe」コマンドを悪用し、認証トラフィックをキャプチャする性能を持つとされる。

SOCRadarによれば、脅威アクターはまずクレデンシャルスタッフィングやブルートフォース攻撃を通じて管理者アクセス権を取得すると、侵害したFortiGateデバイス上にFortigateSnifferを展開したとされる。同ツールが悪用したdiagnose sniffer packetコマンドは本来、接続や認証、ネットワークパフォーマンスの問題に関するトラブルシューティングでの使用を意図したもの。しかし脅威アクターはFortigateSnifferにおいてこのコマンドを悪用し、KerberosやLDAP、SMB、RADIUS、RDP、WinRM、Microsoft SQL Server、MySQL、PostgreSQL、SMTP、IMAP、POP3、FTP、Telnetなどの認証プロトコルおよびリモートアクセスサービスに関するトラフィックをモニタリングしているという。

こうしてFortiGateデバイスから集められたパケットデータはその後、「SNIFTRAN」というコンポーネントを通じて処理され、PCAPファイルへと再編成され、Pythonベースの「PCAP Deep Analysis Toolkit」を通じて解析されるとSOCRadarは報告。このツールキットにより、平文の認証情報やパスワードハッシュ、Kerberosチケット、NTLM認証マテリアル、Eメール認証情報、データベース認証情報、およびその他の認証アーティファクトが抽出されるという。

続いてこのツールキットはNTLMおよびKerberosのハッシュを含むファイルを生成し、SMTP、IMAP、POP3、MySQL、RADIUSなどのプロトコルから、利用可能な場合は平文の認証情報を抽出したとされる。ハッシュ化された認証情報の解読は、分散型GPUクラスター上で動作するGPUベースのパスワード解読ツール「Hashcat」を使用して行われたと伝えられている。

SOCRadarとは別にFortiBleedに関する新たな報告を行ったサイバーセキュリティ専門家のKevin Beaumont氏は、侵害されたデバイスからFortiGateの構成設定ファイルをダウンロードすることも、ハッシュ化された認証情報を不正に入手する手段になっていると述べている。Beaumont氏によれば、攻撃者はその後、このファイルからハッシュ化された認証情報を抽出し、Hashcatおよび36基のエンタープライズクラスのGPUを利用して、これらを解読するという。

Beaumont氏は、パスワードの解読は「GPUの演算能力を貸し出しているあるGenAI企業でホストされていた」と指摘。攻撃者は、通常社内AI用に使われることの多いエンタープライズ性能のGPU36基をレンタルし、AI関連のタスクに使用する代わりにパスワード解読に使用していたと述べた。これにより、大規模かつ高速に解読を行うことができるとされる。

SOCRadarとBeaumont氏、いずれの報告も、攻撃者のサーバー上でGPU専用の解読プラットフォームの存在が確認された事実を説明できる内容となっている。

Beaumont氏は今回のキャンペーンで標的となったIPアドレスのリストを公開しており、FortiGateデバイスを利用している組織には、このリストを参照して標的になったあるいは侵害されたシステムがないかを調べることが推奨される。