Eine massive, sich selbst aufrechterhaltende Operation zur Erfassung von Zugangsdaten zielt aktiv auf Organisationen ab, die Fortinet-Firewalls und VPN-Gateways nutzen. Von Forschern bei SOCRadar als „FortiBleed“ bezeichnet, ist diese Kampagne keine typische Zero-Day-Exploit-Geschichte. Stattdessen dient sie als deutliche Erinnerung an die Gefahren schlechter Passworthygiene und der Wiederverwendung von Zugangsdaten im globalen Maßstab.

Hier erfahren Sie alles, was Sie über den FortiBleed-Diebstahl wissen müssen und wie Sie Ihren Perimeter sichern können.

Das Ausmaß der Kompromittierung: In Zahlen

Das schiere Ausmaß dieser Kampagne ist alarmierend. Der Sicherheitsberater Volodymyr Diachenko entdeckte erste Hinweise auf die Operation, die SOCRadar später analysierte, nachdem ein exponierter Betriebsserver der Angreifer entdeckt wurde. Dieser Fehler der Bedrohungsakteure ermöglichte den Forschern einen beispiellosen Einblick in deren Automatisierungsinfrastruktur, Tools und verifiziertes Zugangsdaten-Repository.

Sie fanden eine massive Opferdatenbank, die Anmeldeinformationen für genau 30.791 Geräte in 194 Ländern enthielt. Dies sind keine zufälligen Passwörter – es sind verifizierte, getestete und funktionierende Benutzernamen und Passwörter.

Der Explosionsradius umfasst:

• 21.108 eindeutige IP-Adressen und 8.316 eindeutige Domains.
• Wichtige Sektoren: Telekommunikation (über 5.600 kompromittierte Geräte), Regierung (591 Geräte in 111 Domains), Gesundheitswesen, Bildung, Finanzdienstleistungen und kritische Infrastruktur.
• Große Unternehmen: Mehr als 20 % der betroffenen Geräte gehören zu Unternehmen mit einem Jahresumsatz von über 1 Milliarde US-Dollar.
• Globale Präsenz: Während die Opfer in Amerika, Europa, Asien, Afrika und dem Nahen Osten verteilt sind, entfallen allein auf die USA und Indien fast ein Drittel aller identifizierten Kompromittierungen.

Wer steckt dahinter?

Basierend auf technischen Beweisen und Hinweisen, die auf dem exponierten Server hinterlassen wurden, schätzt SOCRadar, dass die Bedrohungsakteure wahrscheinlich russischsprachig sind. Ihre Opferausswahl konzentriert sich stark auf NATO-Mitgliedsländer. Während finanzieller Gewinn ein wahrscheinliches Motiv ist, ist Cyberspionage eindeutig ein Faktor – Forscher entdeckten kompromittierte Zugangsdaten, die mit einem VPN-Endpunkt der Verteidigungsindustrie in der Datenbank der Bedrohungsakteure verknüpft waren.

Keine Exploits, keine Zero-Days. Nur reiner Zugangsdaten-Diebstahl

Der bemerkenswerteste Aspekt von FortiBleed ist der Angriffsvektor. Wie Waseem Ahmed, Leiter der Technik bei Secure.com, betonte, ist der Name „FortiBleed“ leicht ironisch, da es keine tatsächliche Software-„Blutung“ oder ausgenutzte Schwachstelle gibt.

Stattdessen verlassen sich die Angreifer vollständig auf Credential Stuffing, Password Spraying und die Wiederverwendung von Zugangsdaten. Sie zielen auf exponierte Fortinet-Management- und VPN-Schnittstellen ab, indem sie generische Administratorkonten, Standard- oder integrierte Fortinet-Systemkonten und alte Passwörter verwenden, die aus früheren Sicherheitsverletzungen stammen und von Administratoren nie geändert wurden.

Ein „sich selbst aufrechterhaltendes“ Angriffsmodell

Die FortiBleed-Kampagne ist vollständig automatisiert und darauf ausgelegt, sich selbst zu speisen. So funktioniert die Angriffskette:

1. Angreifer nutzen automatisierte Tools, um das Internet rund um die Uhr nach exponierten Fortinet-Geräten zu durchsuchen.
2. Sie setzen Credential Stuffing und Password Spraying mit alten, geleakten Zugangsdaten ein, um das Gerät zu kompromittieren.
3. Sobald sie sich im System befinden, verwandeln die Angreifer das kompromittierte Fortinet-Gerät in einen Abhörposten.
4. Sie überwachen den Netzwerkverkehr, der durch das Gerät läuft, um neue
5. Diese frisch gestohlenen Passwörter werden direkt wieder in den automatisierten Scanner eingespeist, um noch mehr Geräte zu kompromittieren.

Sofortige Abhilfemaßnahmen für Verteidiger

SOCRadar stuft diese anhaltende Bedrohung derzeit als kritisch ein. Fortinet-Geräte sind allgegenwärtig und fungieren als Eingangstor zu unzähligen Unternehmensnetzwerken, was sie zu unglaublich wertvollen Zielen macht.

Der Rat von SOCRadar ist klar: Wenn Ihre Organisation in diesem Datensatz enthalten ist, behandeln Sie Ihren Netzwerkperimeter als bereits kompromittiert. Auch wenn Sie nicht sicher sind, ob Sie in das FortiBleed-Netz geraten sind, sollten alle Organisationen, die Fortinet-VPNs und -Firewalls verwenden, die folgenden sofortigen Maßnahmen ergreifen:

• Zugangsdaten ändern: Ändern Sie sofort alle administrativen und VPN-Passwörter.
• MFA erzwingen: Aktivieren Sie die Multi-Faktor-Authentifizierung für alle administrativen und Remote-Zugriffskonten.
• Managementschnittstellen verbergen: Nehmen Sie Managementschnittstellen, wo immer möglich, aus dem öffentlichen Internet.
• Protokolle prüfen: Überprüfen Sie Ihre Authentifizierungs- und VPN-Protokolle genau auf Anzeichen verdächtigen Zugriffs.
• Patchen und aktualisieren: Stellen Sie sicher, dass Ihre Geräte auf die aktuellsten Firmware-Versionen aktualisiert sind.
• IR einleiten: Wenn Sie unbefugten Zugriff vermuten, leiten Sie sofort eine vollständige Untersuchung der Reaktion auf Vorfälle ein.

Automatisierung ermöglicht es Bedrohungsakteuren, schlechte Passworthygiene in unglaublichem Ausmaß zu instrumentalisieren. Stellen Sie sicher, dass Ihre Perimeter-Verteidigung gesichert ist, damit Ihre Infrastruktur nicht zu einem weiteren Knotenpunkt in dieser Erfassungsoperation wird.