Firewalls und VPN-Gateways sind ein lohnendes Angriffsziel – bewachen sie doch das Eingangstor in Unternehmensnetzwerke. Ein Sicherheitsforscher hat nun nach eigenen Angaben eine großangelegte Angriffskampagne gegen Geräte des Herstellers Fortinet aufgedeckt. An die 74.000 sollen kompromittiert worden sein.

Wer hinter dem Angriff steckt ist unklar, Entdecker Volodymyr Diachenko erwähnt jedoch eine „russischsprachige Cybercrime-Gruppe mit mehreren Mitgliedern“. Diese habe zunächst massenhaft Zugangsdaten – etwa aus vorherigen Datenlecks – bei Fortinet-Geräten durchprobiert, insgesamt 1,16 Milliarden Kombinationen aus Benutzernamen und Passwörtern.

Auch die Zahl der über „FortiBleed“ angegriffenen Geräte ist astronomisch: Es seien 320.000 gewesen. Die Hälfte aller über das Internet erreichbaren Fortinet-Geräte. Davon hätten die Kriminellen bei 73.932 Fortinet-Appliances in aller Welt erfolgreich Zugangsdaten abgegriffen, führt Diachenko aus. Die Angaben lassen sich nicht unabhängig überprüfen. In der Mehrzahl der Fälle waren wohl die Management-Interfaces aus dem Internet zugänglich.

Doch wie die Angreifer genau auf die Geräte kamen, bleibt unklar. Sicherheitsexperte Kevin Beaumont vermutet, sie hätten womöglich eine bislang noch unbekannte Sicherheitslücke genutzt, um sich Zugriff zu verschaffen. Dann hätten sie die Gerätekonfiguration abgezogen und die dort enthaltenen Passwort-Hashes mittels eines spezialisierten Clusters mit 48 GPUs und einer Bruteforce-Attacke geknackt. In älteren Versionen der Fortinet-Firmware sind Passwörter mit dem Verfahren SHA256 mit Salt gehasht, das sich im Vergleich zu der ab FortiOS 7.2.11 üblichen PBKDF2-Variante mit zufälligem Hash erheblich effizienter mittels Werkzeugen wie hashcat angreifen lässt.

Inzwischen hat eine Fortinet-Sprecherin gegenüber TechCrunch erklärt, dass das Unternehmen von einer Zugangsdaten-Diebstahl-Kampagne mit Fortinet-Firewalls und -VPN zum Ziel mitbekommen habe. Den Analysen des Herstellers zufolge handelt es sich bei den Daten um solche aus vorherigen Vorfällen sowie um mittel Brute Force geknackten Zugangsdaten. Sie stünden nicht mit jüngeren Vorfällen oder Sicherheitsmitteilungen in Verbindung. Kevin Beaumont, der die Daten einsehen konnte, stellt die Situation anders dar: „Die IP-Adressen sind zum Großteil unterschiedlich zum Belsen-Group-Leak, der 15.000 Geräte umfasste. [Die Daten] enthalten hauptsächlich Geräte, die nicht in diesem Leak waren und dieses Mal sind die meisten Geräte noch online – das hier sind keine Daten aus 2022.“

Auch deutsche Geräte betroffen

Unter den betroffenen Geräten sind auch gut 120, deren Domain auf einen Standort in Deutschland schließen lässt, darunter verschiedene Geräte im Netz der Telekom oder bei Mercedes-Benz. Das Threat-Intelligence-Unternehmen Hudson Rock ließ uns eine Liste der betroffenen de-Domains zukommen und hat eine Informationsseite mit Abfragemöglichkeit eingerichtet.

Betroffene sollten alle Zugangsdaten auf kompromittierten Geräten mit sicheren Passwörtern neu vergeben, verdächtige Zugriffe auf nachgelagerte Netze prüfen und Mehrfaktorauthentifizierung, etwa bei der VPN-Anmeldung, forcieren. Da zur Stunde nicht einmal klar ist, ob die Angriffe über eine bestehende Sicherheitslücke in FortiOS stattfanden, gibt es auch keine Patches, eine Stellungnahme seitens Fortinets Sicherheitsteams steht ebenfalls aus.

Da Fortinet-Geräte Zugang zu Netzwerken bereitstellen, sind sie beliebtes Ziel von Angreifern. Am Mittwoch wurden etwa Angriffe auf FortiSandbox bekannt.

(cku)