Campanha FortiBleed de roubo de credenciais é associada ao Lynx ransomware

A campanha FortiBleed não é só um vazamento de credenciais, é uma operação de coleta em escala industrial com pipeline técnico definido: desde o brute-force automatizado contra mais de 430 mil FortiGate até a implantação do FortiGate Sniffer, ferramenta personalizada que captura credenciais em trânsito de 24 protocolos diferentes, incluindo SSL/TLS descriptografado via MITM no próprio firewall. O dado crítico agora confirmado pela SOCRadar é que essa infraestrutura alimentou diretamente negociações do Lynx ransomware, com provas concretas de sessões ativas nos painéis administrativos dos grupos INC e Lynx acessadas a partir de servidores do FortiBleed.

O uso suspeito de uma vulnerabilidade zero-day no Nextcloud para entrada inicial reforça um padrão já observado na cobertura CEVIU: invasores estão migrando de exploits públicos (como CVE-2022-42475) para vetores silenciosos e não divulgados, especialmente em softwares de colaboração expostos em ambientes corporativos. Isso torna a detecção mais difícil, e a resposta, mais lenta.

Na cobertura anterior, o FortiBleed era descrito como uma campanha de roubo de credenciais liderada por um broker russo (com conexão à operação Storming Tide), focada em força bruta e exploração de backdoors antigos. Agora, há confirmação técnica de que o mesmo grupo opera como braço de acesso inicial para o Lynx ransomware, e não apenas como fornecedor de credenciais. Também houve atualização quantitativa: de 86 mil credenciais válidas reportadas em 23/06, o número subiu para 430 mil firewalls alvo, com 19 mil efetivamente comprometidos com sniffer ativo. A ligação direta com painéis de negociação de resgate é nova e não constava nas edições anteriores.

Organizações com FortiGate expostos não enfrentam só risco de vazamento, enfrentam risco de invasão em cadeia: credencial capturada → acesso à rede interna → movimentação lateral → implantação de ransomware. E o Lynx não é um novo grupo: é uma rebranding do INC, ativo desde meados de 2023, com histórico de ataques a saúde, governo e educação. Se 11 mil dispositivos ainda estão comprometidos, isso significa que centenas de redes brasileiras podem estar sob observação ou já infiltradas, aguardando o momento da execução final.