Eine groß angelegte Angriffskampagne gegen Fortinet-Firewalls sorgt weltweit für Alarm. Laut Berichten sind Zehntausende internetexponierte Fortinet-Geräte mit gestohlenen Zugangsdaten kompromittiert worden; die US-Behörde CISA fordert betroffene Organisationen deshalb auf, ihre Systeme sofort zu härten und Anmeldedaten zu rotieren.
Die Kampagne wird von Forschern als FortiBleed bezeichnet und richtet sich gegen Fortinet-Firewalls und VPN-Gateways, die in Unternehmen und Behörden zum Einsatz kommen. Nach den vorliegenden Berichten wurden kompromittierte Zugangsdaten genutzt, um internetzugängliche Geräte anzugreifen und sich Zugriff auf Verwaltungsoberflächen zu verschaffen.
- TechCrunch berichtet von einer Gruppe russischsprachiger Cyberkrimineller, die Fortinet-Geräte großer Unternehmen weltweit angegriffen haben soll. Die Angreifer nutzten dabei offenbar bereits bekannte oder geleakte Passwörter, um Systeme zu kompromittieren und sich tiefer im Netzwerk zu bewegen.
- DoublePulsar spricht in diesem Zusammenhang von rund 75.000 betroffenen Fortinet-Firewalls, deren Admin-Passwörter geknackt worden sein sollen. Andere Analysen und Folgeberichte nennen je nach Zählweise und Zeitpunkt Zahlen zwischen rund 74.000 und 86.000 betroffenen Geräten.
CISA reagiert mit Warnung und Hilfe
Die CISA hat auf die Berichte reagiert und empfiehlt, Fortinet-Geräte umgehend abzusichern. Dazu gehören das Beenden aktiver Sitzungen, das Zurücksetzen von Verwaltungs- und VPN-Zugangsdaten, die Nutzung von PBKDF2 zur sicheren Speicherung von Admin-Passwörtern sowie der Einsatz phishing-resistenter Multi-Faktor-Authentifizierung. Außerdem rät die Behörde dazu, Verwaltungszugänge nicht direkt aus dem Internet erreichbar zu lassen und die Management-Schnittstellen auf vertrauenswürdige Netze zu beschränken. Zusätzlich sollen Firewall-, VPN- und Authentifizierungsprotokolle auf verdächtige Anmeldungen, Konfigurationsänderungen und laterale Bewegungen geprüft werden.
Handlungsschwerpunkte
- Alle aktiven SSL-VPN- und Admin-Sitzungen beenden.
- Sämtliche Fortinet-Admin- und VPN-Passwörter zurücksetzen.
- Phishing-resistente MFA für Verwaltungs- und Remote-Zugänge aktivieren.
- Management-Oberflächen aus dem öffentlichen Internet entfernen oder stark einschränken.
- Protokolle auf unautorisierte Logins und Konfigurationsänderungen prüfen