TL;DR: Das Wichtigste
- Eine Kampagne namens „FortiBleed“ nutzt bereits offengelegte Administrator-Anmeldedaten aus, um die Fernsteuerung von FortiGate-Gateways zu erlangen und den Zugriff für legitime technische Teams zu sperren.
- Die Hacker nutzen Rechenfarmen mit Grafikchips, um Passwort-Hash-Werte, die durch veraltete Hash-Algorithmen geschützt sind, offline zu knacken.
- Die kompromittierten Zugangsdaten werden nach dem finanziellen Einkommen der Opfer sortiert und anschliessend an Ransomware-Partner wie Payload und INC/Lynx weiterverkauft, um interne Netzwerke zu infiltrieren.
- Die Bundesbehörden empfehlen, im Internet exponierte Verwaltungsschnittstellen zu deaktivieren, eine Multi-Faktor-Authentifizierung vorzuschreiben und den robusten PBKDF2-Algorithmus zur Speicherung von Passwörtern einzuführen.
Die „FortiBleed“-Angriffskampagne macht eine kritische betriebliche Schwachstelle deutlich: Das Eindringen in ungeschützte Fortinet-Firewalls beruht nicht auf einer bisher unbekannten Software-Sicherheitslücke, sondern auf der massiven Wiederverwendung gültiger Anmeldedaten. Ursprünglich im Juni entdeckt, als versehentlich ein Server mit den im Klartext gespeicherten Zugangsdaten von fast 74.000 Firewalls offengelegt wurde, hat sich diese Operation weiter ausgebreitet. Technische Analysen von SOCRadar bestätigen nun, dass etwa 86.600 Geräte in 194 Ländern kompromittiert wurden. Angesichts des Ausmasses der Angriffe haben das FBI und der Secret Service eine gemeinsame Warnmeldung herausgegeben, um Unternehmen vor einer Welle von Sperrungen ihrer eigenen Sicherheitsgeräte zu warnen.
FortiBleed missbraucht die Administratorzugriffe auf FortiGate
Die Angreifer nehmen SSL-VPN-Portale und FortiGate-Firewalls ins Visier, die direkt über das Internet erreichbar sind, ohne dabei Zero-Day-Schwachstellen auszunutzen. Das anfängliche Eindringen stützt sich auf Datenlisten aus früheren Datenlecks und auf Protokolle, die von auf den Diebstahl von Anmeldedaten spezialisierter Spyware gesammelt wurden. Mithilfe automatisierter Skripte führen Cyberkriminelle Passwort-Spray- und Anmelde-Brute-Force-Angriffe durch, um sich Fernzugriff zu verschaffen. Bei dieser Methode werden bekannte Anmeldekombinationen wiederholt an einer Vielzahl von Gateways getestet, bis eine funktionierende Übereinstimmung gefunden wird.
Das Wichtigste zu Cybersicherheit, KI & Tech
Werden Sie Teil der Community. 3-mal pro Woche erhalten Sie die Trendanalyse von Marc Barbezat (auf Französisch). Kein Spam, nur Informationen.
Sobald sie sich mit Administratorrechten angemeldet haben, extrahieren die Angreifer die Datenbank mit den kryptografischen Fingerabdrücken der lokal auf dem Gerät gespeicherten Passwörter. Diese Daten werden anschliessend an ein verteiltes Netzwerk von Grafikprozessoren gesendet, wobei die spezialisierten Tools Hashcat und Hashtopolis zum Einsatz kommen, um die Passwörter im Klartext in industrieller Geschwindigkeit zu rekonstruieren. Wie BleepingComputer hervorhebt, macht die weit verbreitete Verwendung des veralteten Hash-Algorithmus SHA-256 diesen Offline-Entschlüsselungsvorgang besonders schnell und verheerend.
Die Industrialisierung der Opferauswahl, die die Ransomware nährt
Einzelheiten zur internen Funktionsweise der Bedrohung kamen ans Licht, als der Betreiber von FortiBleed einen operativen Sicherheitsfehler beging, indem er seinen zentralen Server ohne Passwort offen liess. Die Untersuchung dieser Verzeichnisstruktur brachte ein umfassendes Verzeichnis funktionsfähiger VPN-Konfigurationen, Listen mit Netzwerkadressen sowie Filterskripte zum Vorschein, die dazu dienten, Köder-Server auszuschliessen, die zum Abfangen von Eindringlingen konfiguriert waren. Die Cyberkriminellen erweitern die gesammelten Daten systematisch und klassifizieren die kompromittierten Unternehmen nach Umsatz und Netzwerktopologie, um verkaufsfertige Zugriffspakete vorzubereiten.
Die Angriffsinfrastruktur nutzt eine als Befehls- und Kontrollserver definierte IP-Adresse, die hinter Proxy-Relaisknoten verborgen ist, sowie ein Relay. Den von SecurityAffairs dokumentierten technischen Beobachtungen zufolge dient dieses Geschäftsmodell als Sprungbrett für Händler von Erstzugängen. Letztere verkaufen die erlangten Zugänge direkt an Ransomware-Gruppen weiter, darunter Payload sowie die Allianz INC/Lynx, die bereits an mindestens 12 bestätigten Cyberangriffen im Anschluss an diese Identitätsdiebstähle beteiligt waren.
Analyse
Das FBI und der US-Geheimdienst haben eine gemeinsame Warnung zu FortiBleed veröffentlicht, und schon die Kernzahl allein ist beeindruckend: Mehr als 86.000 Fortinet FortiGate-Geräte in 194 Ländern sind betroffen. Das Hauptproblem liegt darin, dass es sich nicht um eine Zero-Day-Sicherheitslücke handelt. Tatsächlich handelt es sich um eine Kampagne, die vollständig auf bereits im Umlauf befindlichen Zugangsdaten basiert – diese wurden entweder wiederverwendet, offengelegt oder durch einen schwachen Hash geschützt, den niemand für nötig gehalten hat, zu ersetzen.
Die Sperrung legitimer Konten verhindert jegliche Abhilfe
Die kritischste Phase des Angriffs tritt ein, wenn die Angreifer die Konfiguration der Firewall ändern, um ihre Präsenz zu festigen. Die Angreifer erstellen neue Administratorprofile auf der Hardware und löschen gleichzeitig die bestehenden legitimen Konten oder ändern deren Passwörter. Da ihnen die Zugriffsrechte entzogen wurden, sind die internen Sicherheitsteams vollständig von ihren Systemen ausgeschlossen und nicht in der Lage, einen herkömmlichen Behebungsplan umzusetzen oder die kompromittierten Sitzungen zu beenden, ohne auf aufwändige Wiederherstellungsverfahren zurückgreifen zu müssen.
Von dieser privilegierten Position auf dem Zugangsserver aus dringen die Cyberkriminellen seitlich in das interne Netzwerk vor und erstellen eine Übersicht über das Active Directory des Unternehmens. Wie „The Register“ berichtet, betonen Regierungsbehörden, dass ein einfaches Software-Update nicht ausreicht, um diese Bedrohung abzuwehren. Zur Absicherung ist es erforderlich, die Exposition von Verwaltungskonsolen im öffentlichen Netzwerk zu beseitigen, alle aktiven VPN-Sitzungen zu beenden, eine phishing-resistente Multi-Faktor-Authentifizierung zu verlangen und die Speicherung von Passwörtern unverzüglich auf das seit FortiOS 7.2.11 verfügbare PBKDF2-Protokoll umzustellen.
Diese Angriffswelle macht deutlich, dass das Fehlen von Zero-Day-Schwachstellen keineswegs die Sicherheit eines Geräts im Bereich gewährleistet, wenn die Verwaltung von Anmeldedaten und die kryptografische Hash-Verarbeitung weiterhin vernachlässigt werden.
Häufig gestellte Fragen zu FortiBleed
Was ist der „FortiBleed“-Angriff, von dem Fortinet-Geräte betroffen sind?
FortiBleed bezeichnet eine gross angelegte Angriffskampagne, die auf im Internet exponierte SSL-VPN-Gateways und Fortinet FortiGate-Firewalls abzielt. Bei dieser Aktion werden keine bisher unbekannten Software-Schwachstellen ausgenutzt, sondern bereits in früheren Datenlecks offengelegte Administrator-Zugangsdaten wiederverwendet.
Wie gelingt es Angreifern, gestohlene Passwörter zu knacken?
Cyberkriminelle extrahieren die auf den kompromittierten Gateways gespeicherten Passwort-Hashwerte und verarbeiten diese offline. Sie nutzen Rechencluster, die mit Grafikchips ausgestattet sind, in Kombination mit den Tools Hashcat und Hashtopolis, um die vom veralteten SHA-256-Algorithmus erzeugten Hashwerte mühelos zu knacken.
Warum können die betroffenen Unternehmen nicht mehr auf ihre Firewall zugreifen?
Sobald die Hacker die Kontrolle übernommen haben, erstellen sie neue Administratorzugangsprofile und löschen die bestehenden legitimen Konten. Zudem ändern sie die bestehenden Passwörter, wodurch die technischen Teams jegliche Möglichkeit zur Verwaltung ihres Netzwerk-Gateways verlieren.
Welcher Zusammenhang besteht zwischen FortiBleed und Ransomware?
Cyberkriminelle agieren als Vermittler für Erstzugänge, indem sie Unternehmen nach deren Umsatz und ihrer Netzwerktopologie sortieren. Diese validierten Administratorzugänge werden anschliessend an Ransomware-Partner wie Payload und INC/Lynx verkauft, um interne Netzwerke zu infiltrieren.
Mit welchen technischen Massnahmen lässt sich diese Bedrohung abwehren?
Unternehmen müssen die im Internet zugänglichen Verwaltungsschnittstellen deaktivieren und alle aktiven Sitzungen beenden. Zum Schutz der Administratorkonten ist es unerlässlich, eine Multi-Faktor-Authentifizierung einzuführen und den PBKDF2-Hash-Algorithmus zu aktivieren.
Hat Ihnen der Beitrag geholfen?
Ein Kaffee ist ein einfaches Dankeschön für das Monitoring. Ohne Abo, ohne Verpflichtung.
