Aktuell kursiert die groß angelegte Missbrauchskampagne FortiBleed, die laut Sicherheitsforschung und nationalen Stellen weltweit Fortinet FortiGate-Systeme sowie SSL-VPN-Umgebungen ins Visier nimmt. Dabei geht es nicht um einen neu ausgenutzten Softwarefehler, sondern vor allem um das Wiederverwenden zuvor gestohlener oder geleakter Zugangsdaten.
Wenn Sie Fortinet-Geräte betreiben, sollten Sie jetzt aktiv prüfen, ob Ihre Organisation in bekannten Datensätzen auftaucht und ob Ihr Setup Angriffspfade begünstigt. Dieser FortiBleed Fortinet-Alarm fasst zusammen, was bisher bekannt ist und welche Maßnahmen sich in der Praxis sofort umsetzen lassen.
Was steckt hinter FortiBleed?
Im Rahmen von FortiBleed versuchen Angreifer, sich Zugang zu FortiGate-Firewalls und SSL-VPN-Zugängen zu verschaffen. Als Grundlage dienen bereits vorhandene Anmeldedaten, die zuvor abgegriffen oder geleakt wurden. Die Angreifer kombinieren diese Informationen anschließend mit automatisierten Angriffsmethoden, um möglichst schnell weitere Systeme zu kompromittieren.
Wichtig: Derzeit gibt es keine Hinweise, dass Angreifer aktuell eine komplett neue Schwachstelle ausnutzen. Stattdessen berichten Forschende, dass vor allem Benutzernamen und Passwörter erneut verwendet werden.
Nach bisherigen Erkenntnissen nutzen Angreifer vor allem zwei Muster, um mit Leaks und gestohlenen Credentials erfolgreich zu sein:
- Brute-Force-Angriffe: Dabei werden viele Passwörter automatisiert ausprobiert.
- Credential Stuffing: Dabei werden geleakte Zugangsdaten auf anderen Systemen oder Zielumgebungen erneut verwendet.
In mehreren Fällen fanden Forschende Datensätze, die gültige Benutzernamen, E-Mail-Adressen und Passwörter enthielten. Das erhöht die Wahrscheinlichkeit, dass Angreifer schon nach relativ kurzer Zeit in Nutzer- oder Administrationsbereiche gelangen.
Die Einschätzung zur Reichweite ist bislang nicht final, aber die bisherigen Beobachtungen sind deutlich: Laut Forschenden könnten weltweit rund 30.000 bis über 70.000 Fortinet-Geräte betroffen sein.
Für einzelne Organisationen wurde außerdem berichtet, dass in entsprechenden Datensätzen Anmeldedaten auftauchten. Gleichzeitig gilt: Da die vollständige Auswertung der Kampagne noch nicht abgeschlossen ist, ist nicht sicher, dass bereits alle betroffenen Stellen erreicht wurden.
Woran arbeiten Angreifer nach dem ersten Zugriff?
Nach dem initialen Einstieg scheinen Angreifer systematisch vorzugehen. Forschende berichten, dass sie nach der ersten Zugriffsphase den Netzwerkverkehr von Fortinet-Geräten abfingen, um zusätzliche Anmeldeinformationen zu gewinnen.
Die erbeuteten Credentials können anschließend genutzt werden, um weitere Zugriffe innerhalb des internen Netzwerks zu ermöglichen. Das bedeutet für Betreiber: Selbst wenn „nur“ ein Zugang kompromittiert wurde, kann das Risiko für die gesamte Umgebung steigen.
Check: Ist Ihre Organisation in bekannten Datensätzen?
Eine der wichtigsten ersten Schritte ist eine gezielte Prüfung. Die zuständige Stelle empfiehlt, aktiv zu kontrollieren, ob die eigene Organisation in den bekannten Datensätzen vorkommt.
Da nicht für jede betroffene Organisation feststeht, welche Folgehandlungen nach dem ersten Zugriff stattgefunden haben, ist eine reine „Ja/Nein“-Antwort nicht ausreichend. Entscheidend ist auch, wie Ihr aktueller Schutzstatus aussieht und ob es Anzeichen für Missbrauch in Ihrer Umgebung gibt.
So führen Sie eine Risiko- und Impactanalyse durch
Da der Umfang individueller Folgetätigkeiten nicht zuverlässig vorliegt, sollten Sie eine eigene Bewertung durchführen. Prüfen Sie insbesondere die folgenden Punkte, um das Risiko schnell einzugrenzen und mögliche Spuren zu entdecken.
1) Passwörter und Authentifizierungsfaktoren neu aufsetzen
Überlegen Sie, Passwörter und andere Authentifizierungsmittel für Verwaltungs- und Benutzerkonten zurückzusetzen. Dazu gehören auch SSH-Schlüssel.
Erwägen Sie außerdem, aktive SSL-VPN- und Administratorsitzungen zu beenden. So reduzieren Sie die Chance, dass Angreifer bestehende Sessions weiter nutzen.
2) Protokolle auf verdächtiges Verhalten untersuchen
Als nächstes sollten Sie Ihre Logs systematisch auswerten. Untersuchen Sie insbesondere:
- VPN-Logs
- Authentifizierungs- und Administrationslogs
- Hinweise auf verdächtige Login-Versuche, unbekannte IP-Adressen und ungewöhnliche Herkunftsorte
- Abweichende Login-Zeiten
Beziehen Sie dabei möglichst viele relevante Quellen ein, darunter Fortinet, Active Directory, LDAP, RADIUS sowie SSH-bezogene Authentifizierungsdaten. Wenn es in Ihrer Organisation üblich ist, nutzen Sie zudem korrelierte Auswertungen über Systeme hinweg.
Zusätzlich sollten Sie erwägen, IP-Whitelisting einzuführen und Multi-Factor Authentication (MFA) für Verwaltungs- und Benutzerkonten verpflichtend zu machen.
3) Prüfen, ob neue oder verdächtige Konten entstanden sind
Achten Sie darauf, ob Angreifer möglicherweise neue Konten angelegt haben. Kontrollieren Sie insbesondere:
- Fortinet-Accounts
- Domänenkonten
- lokale Konten
- Servicekonten
- SSH-Konten
Wenn Sie Konten entdecken, die nicht zu Ihrem erwarteten Betrieb passen (z. B. ungewöhnliche Benennungen oder unerklärliche Aktivität), behandeln Sie diese als potenziell kompromittiert.
4) SSH-Zugriff bewerten und unnötige Exponierung vermeiden
Überprüfen Sie, ob SSH-Zugriff auf Ihren Fortinet-Geräten überhaupt aktiviert ist. Außerdem sollten Sie prüfen, ob eine direkte Internet-Ausstellung von SSH in Ihrem Umfeld notwendig ist.
Wo möglich, beschränken Sie Administrationsschnittstellen auf interne Management-Umgebungen oder auf autorisierte Quell-IP-Adressen. So verringern Sie die Angriffsfläche deutlich.
5) Passworthashing-Strategie für Admin-Konten prüfen
Ein weiterer Hebel ist die Absicherung der Passwortspeicherung. Prüfen Sie, ob Ihre Fortinet-Umgebung PBKDF2 (Password-Based Key Derivation Function 2) für die Speicherung von Admin-Konten verwendet.
Entfernen bzw. ersetzen Sie außerdem veraltete und weniger sichere Hashmethoden gemäß den Vorgaben von Fortinet. Das stärkt die Widerstandsfähigkeit, falls Angreifer versuchen, auf Hashdaten zuzugreifen und diese offline anzugreifen.
Zusätzliche Beobachtungen: Paketaufzeichnungen
In mehreren Fällen wurde berichtet, dass Angreifer Netzwerkverkehr von Fortinet-Systemen gesammelt haben, unter anderem in Form von Packet Captures. Das kann darauf hindeuten, dass die Angreifer neben den direkt genutzten Anmeldedaten weitere Authentifizierungsinformationen abgreifen wollen.
Wenn Sie eine Bedrohung vermuten, sollten Sie deshalb nicht nur Auth-Logs, sondern auch Indikatoren für ungewöhnliche Netzwerkaktivität prüfen.
Wie Sie jetzt richtig vorgehen
Da sich FortiBleed weiterentwickelt und laufend neue Informationen hinzukommen können, empfiehlt es sich, Ihre Prüfung und Abwehrmaßnahmen strukturiert anzugehen:
- Prüfen Sie, ob Ihre Organisation in bekannten Datensätzen vorkommt.
- Führen Sie eine eigene Risiko- und Impactanalyse durch, statt sich nur auf Dritteinschätzungen zu verlassen.
- Setzen Sie Passwörter und Authentifizierungsfaktoren zurück und beenden Sie sensible Sessions.
- Analysieren Sie Logs quer über VPN-, Auth- und Administrationssysteme.
- Minimieren Sie Angriffsflächen (z. B. SSH-Exponierung) und stärken Sie den Zugriff mit MFA.
Wenn Sie dabei auf konkrete Anzeichen für Missbrauch stoßen, reagieren Sie im Sinne eines Incident-Response-Prozesses: Eindämmen, Absichern, Wiederherstellen und nachverfolgen.
Fazit: FortiBleed Fortinet-Alarm ernst nehmen
Der FortiBleed Fortinet-Alarm zeigt vor allem eines: Selbst ohne einen neu ausgenutzten Bug kann eine Kampagne durch gestohlene Zugangsdaten große Auswirkungen haben. Die bisherigen Beobachtungen deuten darauf hin, dass Angreifer erfolgreich über Wiederverwendung von Credentials und automatisierte Versuche an Zugriff gelangen.
Setzen Sie daher jetzt auf eine Kombination aus gezielter Überprüfung, aktiver Absicherung und gründlicher Log-Analyse. So erhöhen Sie die Chance, kompromittierte Zugänge frühzeitig zu erkennen und weitere Schäden zu verhindern.
Quelle: https://www.ncsc.nl/alerts/fortibleed-duizenden-fortinetsystemen-mogelijk-geraakt
