แจ้งเตือน! สถานะการณ์ FortiBleed ยังรุนแรงต่อเนื่อง เสี่ยงถูกยึดครองอุปกรณ์ Fortinet และถูกใช้เป็นจุดเริ่มต้นการโจมตีด้วย Ransomware - Thailand Computer Emergency Response Team (ThaiCERT)

ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ขอแจ้งเตือนภัยคุกคามทางไซเบอร์จากแคมเปญ FortiBleed ซึ่งยังคงมีการโจมตีอย่างต่อเนื่อง โดยมุ่งเป้าไปที่อุปกรณ์ไฟร์วอลล์ Fortinet FortiGate และระบบ SSL VPN Gateway ที่เปิดให้เข้าถึงได้จากเครือข่ายอินเทอร์เน็ตสาธารณะ ทั้งนี้ ผู้โจมตีอาศัยข้อมูลรับรองที่รั่วไหลหรือมีการใช้รหัสผ่านซ้ำ ร่วมกับการใช้ประโยชน์จากกลไกการจัดเก็บรหัสผ่านแบบเดิมที่มีความปลอดภัยต่ำ เพื่อขโมยข้อมูลรับรองและนำค่าแฮชของรหัสผ่านไปถอดรหัส ซึ่งอาจส่งผลให้ผู้โจมตีสามารถยึดครองอุปกรณ์เครือข่ายขององค์กร และใช้เป็นช่องทางในการเข้าถึงระบบภายใน เพื่อขโมยข้อมูลสำคัญหรือดำเนินการโจมตีด้วยมัลแวร์เรียกค่าไถ่ (Ransomware) ต่อไป

1. รายละเอียดภัยคุกคาม [1] แคมเปญ FortiBleed ถูกบันทึกครั้งเมื่อเดือนมิถุนายน 2026 ซึ่งในปัจจุบันพบว่าสามารถรวบรวมข้อมูล Credential ของอุปกรณ์ที่ใช้งานได้แล้วมากกว่า 86,644 รายการ ครอบคลุม 194 ประเทศ โดยกลไกการโจมตีประกอบด้วย 1.1 การสำรวจระบบและค้นหาข้อมูลรับรอง (Reconnaissance and Credential Discovery) ผู้โจมตีเริ่มต้นจากการสำรวจระบบเพื่อระบุพอร์ตและบริการที่เปิดใช้งาน จากนั้นใช้เทคนิค Credential Stuffing และ Password Spraying โดยอาศัยข้อมูลรับรองที่รั่วไหลจากเหตุการณ์ก่อนหน้า รวมถึงข้อมูลที่รวบรวมได้จากมัลแวร์ขโมยข้อมูล (Infostealer) เพื่อพยายามเข้าถึงระบบเป้าหมาย 1.2 การดักจับข้อมูลรับรองและถอดรหัสผ่าน (Credential Harvesting and Password Cracking) ผู้โจมตีติดตั้งเครื่องมือดักจับข้อมูลการยืนยันตัวตนแบบ Passive เพื่อรวบรวมข้อมูลรับรองและค่าแฮชของรหัสผ่าน (Password Hash) ก่อนนำไปประมวลผลด้วยเครื่องมือ Hashcat และ Hashtopolis โดยใช้หน่วยประมวลผลกราฟิก (GPU) เพื่อเพิ่มความเร็วในการถอดรหัสผ่าน 1.3 การเข้าถึงและสำรวจระบบเครือข่ายภายใน (Internal Network Access and Discovery) เมื่อได้รับรหัสผ่านที่ถอดรหัสสำเร็จ ผู้โจมตีจะนำข้อมูลดังกล่าวไปใช้เข้าถึงระบบเครือข่ายภายใน พร้อมสำรวจ Active Directory ตรวจสอบสิทธิ์ผ่าน Kerberos และพยายามยืนยันตัวตนผ่านโปรโตคอล SMB เพื่อระบุระบบและบัญชีที่สามารถเข้าถึงเพิ่มเติมได้ 1.4 การรักษาการเข้าถึงระบบและขัดขวางผู้ดูแลระบบ (Persistence and Administrator Lockout) ผู้โจมตีสร้างบัญชีผู้ดูแลระบบใหม่บนอุปกรณ์ไฟร์วอลล์เพื่อรักษาสิทธิ์ในการเข้าถึงระบบอย่างต่อเนื่อง (Persistence) โดยในบางกรณีอาจลบบัญชีผู้ดูแลระบบเดิมหรือเปลี่ยนรหัสผ่าน ส่งผลให้เจ้าหน้าที่ IT ของหน่วยงานไม่สามารถเข้าถึงและบริหารจัดการอุปกรณ์ได้ (Administrator Lockout)

2. ระบบที่อาจได้รับผลกระทบ 2.1 อุปกรณ์ Fortinet FortiGate firewalls ที่เปิดใช้งาน SSL VPN และเปิดพอร์ตการจัดการบนเครือข่ายสาธารณะ 2.2 อุปกรณ์ Fortinet ที่ใช้กลไกการจัดเก็บรหัสผ่านของบัญชีผู้ดูแลระบบแบบเดิม (Legacy Password Storage) ซึ่งมีความปลอดภัยต่ำและล้าสมัย อาจเพิ่มความเสี่ยงต่อการถูกถอดรหัสผ่านหากผู้โจมตีสามารถเข้าถึงข้อมูลดังกล่าวได้ 2.3 อุปกรณ์ Fortinet ที่มีการใช้ชื่อบัญชีผู้ดูแลระบบ (Administrator Account) ที่เป็นค่าเริ่มต้นของระบบ (Default Username) หรือใช้ชื่อบัญชีที่สามารถคาดเดาได้ง่าย ซึ่งอาจเพิ่มความเสี่ยงต่อการถูกโจมตีเพื่อเข้าถึงระบบโดยไม่ได้รับอนุญาต

3. ผลกระทบที่อาจเกิดขึ้น หากผู้โจมตีสามารถเข้าถึงอุปกรณ์ Fortinet ด้วยสิทธิ์ระดับผู้ดูแลระบบ อาจส่งผลให้สามารถควบคุมหรือเปลี่ยนแปลงการตั้งค่าอุปกรณ์ ดักจับข้อมูลการจราจรเครือข่าย ขโมยข้อมูลสำคัญ และใช้เป็นช่องทางในการเข้าถึงระบบอื่นภายในเครือข่าย (Lateral Movement) และอาจนำไปสู่การถูกติดตั้งมัลแวร์เรียกค่าไถ่ (Ransomware) นอกจากนี้ ผู้โจมตีอาจเปลี่ยนรหัสผ่านหรือลบบัญชีผู้ดูแลระบบเดิม ส่งผลให้หน่วยงานไม่สามารถบริหารจัดการอุปกรณ์ได้ตามปกติ และอาจจำเป็นต้องกู้คืนหรือรีเซ็ตอุปกรณ์ ซึ่งส่งผลกระทบต่อความต่อเนื่องในการให้บริการและความมั่นคงปลอดภัยของข้อมูลภายในหน่วยงาน

4. แนวทางการตรวจสอบและป้องกัน [2] 4.1 จำกัดการเข้าถึงอินเทอร์เฟซบริหารจัดการ (Management Interface) ของอุปกรณ์ FortiGate จากอินเทอร์เน็ต โดยอนุญาตเฉพาะเครือข่ายที่เชื่อถือได้ 4.2 ตรวจสอบบัญชีผู้ดูแลระบบบนอุปกรณ์ FortiGate และปิดใช้งานหรือลบบัญชีที่ไม่ได้รับอนุญาต 4.3 เปลี่ยนรหัสผ่านบัญชีผู้ดูแลระบบและผู้ใช้งาน SSL VPN พร้อมบังคับใช้การยืนยันตัวตนแบบหลายปัจจัย (MFA) 4.4 ปรับปรุงกลไกการจัดเก็บรหัสผ่านของบัญชีผู้ดูแลระบบให้ใช้การแฮชที่มีความปลอดภัยสูงขึ้น เช่น PBKDF2 หรือตามคำแนะนำของผู้ผลิต 4.5 ตรวจสอบบันทึกเหตุการณ์เพื่อค้นหาความผิดปกติ เช่น การเข้าสู่ระบบจาก IP ที่ไม่รู้จัก การสร้างบัญชีใหม่ หรือการเปลี่ยนแปลงการตั้งค่าที่ผิดปกติ 4.6 หากสงสัยว่าอุปกรณ์ถูกบุกรุก ให้จำกัดการเชื่อมต่อหรือแยกอุปกรณ์ออกจากเครือข่าย เก็บรักษาหลักฐาน และรายงานเหตุการณ์ต่อ ThaiCERT หรือหน่วยงานที่เกี่ยวข้อง

แหล่งอ้างอิง [1] https://dg.th/759teqxnf8 [2] https://dg.th/yf76h9ivsa

泰国国家计算机安全事件响应中心 (ThaiCERT) 提醒您注意正在进行的 FortiBleed 网络威胁活动。该活动的目标是 Fortinet FortiGate 防火墙设备和可通过公共互联网访问的 SSL VPN 网关。攻击者利用泄露或重复使用的密码，结合不安全的传统密码存储机制，窃取凭据并使用密码哈希值进行解密。这可能导致攻击者入侵组织网络、访问内部系统、窃取敏感数据或发起勒索软件攻击。

1. 威胁详情 [1] FortiBleed 攻击活动最早于 2026 年 6 月被发现，目前已发现其从 194 个国家/地区的超过 86,644 台活跃设备中窃取了凭证。攻击机制包括：1.1 侦察和凭证发现 攻击者首先侦察系统，识别开放端口和服务。然后，他们利用凭证填充和密码喷洒技术，结合先前泄露的凭证和从 Infostealer 恶意软件中收集的信息，试图获取目标系统的访问权限。1.2 凭证收集和密码破解 攻击者安装被动身份验证捕获工具来收集凭证和密码哈希值，然后使用 Hashcat 和 Hashtopolis 等工具，借助图形处理单元 (GPU) 加速密码破解。 1.3 内部网络访问和发现 一旦破解密码被获取，攻击者将利用这些信息访问内部网络，探索 Active Directory，通过 Kerberos 进行身份验证，并尝试通过 SMB 协议验证身份，以识别其他可访问的系统和帐户。1.4 维持系统访问和防止管理员锁定（持久性和管理员锁定） 攻击者会在防火墙设备上创建一个新的管理员帐户，以维持对系统的持续访问（持久性）。在某些情况下，他们可能会删除原始管理员帐户或更改其密码，从而阻止组织 IT 人员访问和管理该设备（管理员锁定）。

2. 可能受影响的系统：2.1 启用了 SSL VPN 且在公共网络上开放了管理端口的 Fortinet FortiGate 防火墙。2.2 使用不安全且过时的传统密码存储方式的 Fortinet 设备，如果攻击者获得此类数据的访问权限，则可能面临密码解密的风险。2.3 使用默认系统管理员帐户用户名或容易猜测的用户名的 Fortinet 设备，这可能会增加遭受未经授权的系统访问攻击的风险。

3. 潜在影响：如果攻击者获得 Fortinet 设备的管理员权限，他们可以控制或修改设备设置、拦截网络流量、窃取敏感数据，并将其用作访问网络内其他系统的入口（横向移动）。这还可能导致勒索软件攻击。此外，攻击者可能更改密码或删除现有管理员帐户，导致组织无法正常管理设备，并可能需要恢复或重置设备。这将影响组织内部的服务连续性和数据安全。

4. 监控和预防指南 [2] 4.1 限制从互联网访问 FortiGate 设备的管理界面，仅允许受信任的网络访问。4.2 监控 FortiGate 设备上的管理员帐户，并禁用或删除未经授权的帐户。4.3 更改管理员帐户和 SSL VPN 用户的密码，并强制执行多因素身份验证 (MFA)。4.4 改进管理员帐户的密码存储机制，使用更高安全性的哈希算法，例如 PBKDF2 或制造商推荐的算法。4.5 检查事件日志，查找异常情况，例如来自未知 IP 的登录、创建新帐户或异常设置更改。4.6 如果怀疑设备已被入侵，请限制连接或将设备与网络隔离，保存证据，并将事件报告给 ThaiCERT 或相关机构。

参考文献 [1] https://dg.th/759teqxnf8 [2] https://dg.th/yf76h9ivsa