Das Cybersicherheits-Unternehmen SOCRadar hat eine groß angelegte Angriffswelle gegen Fortinet-Firewalls und VPN-Gateways aufgedeckt, die offenbar seit längerer Zeit unbemerkt lief. Die Analysten von SOCRadar stießen bei der Beobachtung von Server-Infrastruktur einer Hackergruppe auf eine umfassende Datenbank mit funktionierenden Zugangsdaten für mehr als 30.000 Geräte in 194 Ländern. Die Forscher tauften die Kampagne "FortiBleed" – in Anlehnung an frühere bekannte Sicherheitsvorfälle bei Netzwerkgeräten. Betroffen sind demnach Behörden, Banken, Krankenhäuser, Universitäten und Energieversorger gleichermaßen, verteilt über alle Kontinente.

Automatisierte Angriffe

Hinter dem Angriff steckt offenbar ein hochgradig automatisiertes System. Die Täter durchsuchen das Internet systematisch nach erreichbaren Fortinet-Geräten und testen gegen jedes davon eine kuratierte Liste bereits bekannter, zuvor geleakter Zugangsdaten. Gelingt der Login, wird das Gerät zur Abhörstation: Der durchlaufende Netzwerkverkehr wird mitgeschnitten, um weitere Passwörter abzugreifen, die anschließend wieder in den Scanner eingespeist werden. So entsteht ein sich selbst verstärkender Kreislauf, bei dem jede neue Kompromittierung die nächste vorbereitet. Viele betroffene Organisationen hatten ihre Zugangsdaten offenbar seit einem früheren Vorfall nie geändert, was den Angreifern die Arbeit erheblich erleichterte.

Bei der Auswertung der erbeuteten Daten machten die Forscher zudem Fehler der Angreifer selbst aus: Ihr eigener Server war ungeschützt erreichbar und enthielt neben Tools und Automatisierungsskripten auch Zugangsdaten zu einem VPN-Zugang aus dem Rüstungssektor. Das deutet laut SOCRadar darauf hin, dass es der Gruppe nicht nur um finanzielle Motive geht. Die verwendete Infrastruktur, die eingesetzten Werkzeuge und die auffällige Konzentration der Opfer auf NATO-Mitgliedstaaten sprechen nach Einschätzung der Analysten für russischsprachige Akteure. Eine endgültige Zuordnung steht allerdings noch aus.

Das Ausmaß der Kompromittierung ist beachtlich: Allein im Telekommunikationssektor wurden über 5600 Einträge gezählt, im Behördenbereich knapp 600 Zugänge über 111 unterschiedliche Domains – darunter auch Stellen in der Ukraine, Polen und Taiwan. Indien und die USA stellen zusammen fast ein Drittel aller erfassten Zugangsdaten. Mehr als ein Fünftel der betroffenen Organisationen erzielt laut den Daten einen Jahresumsatz von über einer Milliarde Dollar. Auffällig ist außerdem, welche Konten am häufigsten betroffen waren: Es handelt sich größtenteils um generische Admin-Logins und werkseitig voreingestellte Systemkonten, die offensichtlich nie umbenannt oder mit individuellen Passwörtern versehen wurden.

Zugangsdaten umgehend ändern

Wichtig für betroffene Unternehmen: Es handelt sich nach aktuellem Stand nicht um eine neue Sicherheitslücke in der Fortinet-Software selbst, sondern um klassische Credential-Angriffe wie Brute-Force und Credential Stuffing gegen aus dem Internet erreichbare Verwaltungsoberflächen. SOCRadar rät betroffenen Organisationen dringend, sämtliche Admin- und VPN-Passwörter umgehend zu ändern, Zwei-Faktor-Authentifizierung einzuführen, Login-Protokolle auf ungewöhnliche Zugriffe zu prüfen, Verwaltungszugänge vom offenen Internet abzuschotten und die Firmware aktuell zu halten. Die Kampagne läuft den Angaben zufolge weiterhin aktiv, die gestohlenen Daten seien bislang aber noch nicht auf einschlägigen Foren im Darknet aufgetaucht.

Für IT-Verantwortliche lohnt sich ein genauerer Blick auf die Details der Analyse. Da die Angreifer ihre Scans gezielt auf alle gängigen Fortinet-Portkonfigurationen ausgerichtet haben – neben dem Standardport 443 etwa auch 4443, 8443 und 10443 – reicht eine Prüfung der Standardeinstellung allein nicht aus; Admins sollten sämtliche aktiven Management-Ports kontrollieren. Besonders kritisch ist laut SOCRadar der Umgang mit Werks- und Systemkonten: Ein Großteil der erbeuteten Zugangsdaten entfiel auf generische Admin-Logins und nie umbenannte interne Fortinet-Systemaccounts, die in vielen Netzwerken offenbar unverändert im Einsatz waren.

Wer in der Liste der betroffenen Organisationen auftaucht oder seine Geräte seit längerer Zeit nicht überprüft hat, sollte das Gerät vorsorglich als vollständig kompromittiert behandeln – inklusive Konfigurationsdateien, gespeicherter Sitzungsdaten und etwaiger Backup-Zugänge – und nicht nur einzelne Passwörter austauschen, sondern die gesamte Zugangsverwaltung neu aufsetzen.