Eine groß angelegte Angriffskampagne mit dem Namen FortiBleed hat weltweit Zugangsdaten von tausenden Fortinet-Firewalls und VPN-Gateways offengelegt. Anders als der Name vermuten lässt, steckt keine neue Sicherheitslücke dahinter, sondern ein massiver Diebstahl und Abgleich von Zugangsdaten in einem Ausmaß, das selbst erfahrene Sicherheitsforscher überrascht hat.

Was ist passiert

Der Sicherheitsforscher Volodymyr Diachenko entdeckte einen offen zugänglichen Server, auf dem eine umfangreiche Sammlung von Fortinet- und FortiGate-Zugangsdaten lag, darunter Benutzernamen, E-Mail-Adressen und teils Klartext-Passwörter. Die Analysefirma Hudson Rock wertete den Datensatz anschließend aus und kommt auf 73.932 eindeutige Fortinet-Firewall-URLs in 194 Ländern, verteilt auf 21.632 betroffene Domains. Eine zweite Firma, SOCRadar, untersuchte denselben Vorfall unabhängig und fand auf einem Operator-Server der Angreifer eine Datenbank mit 30.791 verifizierten, funktionierenden Zugangsdaten.

Der unabhängige Forscher Kevin Beaumont konnte Teile der Daten einsehen und bestätigte, dass sie echt sind. Nach seiner Einschätzung auf Basis von Shodan-Daten umfasst der Datensatz etwa die Hälfte aller weltweit aus dem Internet erreichbaren Fortinet-Firewalls. Beaumont stellte zudem klar, dass es sich um andere Geräte handelt als beim sogenannten Belsen-Group-Leak mit rund 15.000 Geräten aus dem Jahr 2022. Die meisten der hier betroffenen Systeme sind nach wie vor online.

Diachenko zufolge steckt eine mehrköpfige, russischsprachige Cybercrime-Gruppe hinter der Kampagne. Sie soll rund 1,16 Milliarden Kombinationen aus Benutzernamen und Passwörtern gegen mehr als 320.000 FortiGate-Ziele durchprobiert haben, parallel dazu weitere 2,1 Milliarden Brute-Force-Versuche gegen über 160.000 MSSQL-Server. Zum Knacken abgefangener SSL-VPN-Authentifizierungs-Hashes soll die Gruppe einen 45-GPU-Cluster mit der Plattform Hashtopolis eingesetzt haben.

Wie die Angreifer vorgegangen sind

Der Ablauf folgt einem sich selbst verstärkenden Muster. Zunächst scannen die Angreifer automatisiert das Internet nach erreichbaren Fortinet-Geräten, vor allem FortiGate-SSL-VPN-Endpunkten und administrativen Oberflächen. Gegen diese testen sie systematisch Zugangsdaten aus früheren Datenlecks und aus Infostealer-Malware-Datenbanken. Wo ein Login funktioniert, wird das Gerät in einer Datenbank vermerkt, aus der konfigurierte Zugänge ausgelesen werden. Anschließend nutzen die Angreifer kompromittierte Geräte als Abhörposten, um weiteren Datenverkehr und damit neue Zugangsdaten mitzuschneiden, die wiederum in den nächsten Angriffslauf einfließen.

Ein technischer Faktor begünstigt die Kampagne zusätzlich. Fortinet hat mit FortiOS 7.2.11, 7.4.8 und 7.6.1 eine PBKDF2-basierte Passwort-Hashing-Methode für Administrator-Zugangsdaten eingeführt, die das ältere SHA-256-Verfahren ablöst. Beim Upgrade von einer früheren Version bleiben bestehende Admin-Passwörter jedoch so lange als SHA-256-Hash gespeichert, bis sich der jeweilige Administrator nach dem Upgrade tatsächlich einmal anmeldet. Viele Organisationen dürften deshalb weiterhin ältere, leichter zu knackende Hashes auf ihren Geräten haben, ohne es zu merken.

Fortinet selbst äußerte sich gegenüber TechCrunch und BleepingComputer und erklärte, die Daten stammten aus einer Kombination von bereits bekannten früheren Vorfällen und Brute-Force-Angriffen auf Zugangsdaten. Ein Zusammenhang mit einer neuen, bislang unbekannten Sicherheitslücke oder einem aktuellen Advisory bestehe nicht. SOCRadar bestätigt diese Einschätzung und fand in der eigenen Untersuchung keine Hinweise auf eine ausgenutzte Fortinet-Schwachstelle. Viele der erfolgreichen Logins gingen demnach auf generische Admin-Konten und eingebaute Fortinet-Systemkonten zurück, deren Passwörter über Jahre nie geändert wurden.

Unter den in den Datensätzen genannten Organisationen finden sich nach Angaben von Hudson Rock und mehreren Medienberichten unter anderem Samsung, Oracle, Foxconn, Comcast, Siemens, Lenovo, Chevron, AT&T, Mercedes-Benz, Toyota, PwC und Accenture, daneben zahlreiche Behörden und Betreiber kritischer Infrastruktur. Diachenko berichtete zudem von tieferen Kompromittierungen in Japan, Taiwan, Vietnam, Irak und der Türkei, darunter ein türkischer NATO-Rüstungszulieferer, bei dem angeblich klassifizierte Verteidigungsdokumente entwendet wurden. Diese weiterführenden Angaben sind bislang nicht unabhängig bestätigt.

Warum das relevant ist

Fortinet-Firewalls und VPN-Gateways sitzen am Netzwerkrand und entscheiden, wer in ein Unternehmensnetz hineinkommt. Wer hier Zugangsdaten besitzt, hat im schlimmsten Fall direkten Zugriff auf interne Systeme, kann VPN-Verbindungen mitlesen oder sich lateral über Active Directory weiterbewegen. SOCRadar bewertet die Lage als kritisch und weist darauf hin, dass die Auswahl der Opfer überproportional auf Organisationen in NATO-Staaten ausgerichtet war.

Wichtig ist: Wer in einem der Datensätze auftaucht, sollte das nicht als bloße Warnung, sondern als bereits eingetretenen Sicherheitsvorfall behandeln. Da kein neuer Exploit im Spiel ist, lässt sich der Vorfall auch nicht einfach durch ein Update beheben. Es braucht aktives Handeln bei den Zugangsdaten selbst.