Открытая директория на бэкенд-сервере операторов FortiBleed выдала 319 файлов их собственного тулинга – от сканеров и GPU-крекера на арендованных Vast.ai до каталога целей, отсортированного по выручке. ФБР и Секретная служба выпустили совместное адвайзори, но разобрать операцию до винтика позволила не разведка, а забытая директория. Мы прочитали каждый скрипт, пересчитали каждую цифру и выяснили, что из 86 644 заявленных устройств полностью подтверждённых компрометаций – 148.
6 октября 2026 года ФБР и Секретная служба США выпустили совместное адвайзори JCSA-20261006-01 – 11 страниц с индикаторами компрометации, таблицами MITRE ATT&CK и списком из 19 скомпрометированных аккаунтов на устройствах FortiGate. Документ подписан TLP:CLEAR и адресован всем 16 секторам критической инфраструктуры. По масштабу реакции – федеральный уровень, совместная работа двух ведомств, адресация CISO всех отраслей – это не рядовой бюллетень по очередной CVE.
Но ирония в том, что весь этот механизм запустился не потому, что правоохранители вскрыли операцию изнутри. Его запустила открытая директория на сервере самих операторов. Бэкенд по адресу 85.11.187.8, на котором крутился координационный сервер крекинга, был доступен из интернета без какой-либо аутентификации. 319 файлов – скрипты сканирования, базы кредов, конфиги GPU-воркеров, операторские логи деплоя, живые VPN-конфиги в сети жертв – лежали в открытом листинге. FOFA проиндексировала сервер 15 июня 2026 года, за несколько дней до того, как CloudSEK опубликовала первый разбор. Единственная точка провала, обнулившая всю операцию.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Оформить подписку →Автор: hacker@shifry.local