FBI warnt: FortiBleed-Angriffe sperren Administratoren aus FortiGate-Geräten aus

Das FBI hat davor gewarnt, dass FortiBleed-Angriffe weiterhin auf über das Internet erreichbare Fortinet-FortiGate-Firewalls und SSL-VPN-Gateways abzielen. Bei einigen Vorfällen übernehmen Angreifer die Kontrolle über Administratorkonten und hindern berechtigte Nutzer daran, ihre Geräte zu verwalten.

Die Kampagne nutzt gestohlene oder kompromittierte Zugangsdaten, um Zugriff zu erhalten. Unterdessen erklärt das FBI, dass die Angriffskette Ransomware-Partnern, darunter INC/Lynx und Payload, einen ersten Zugang zu Netzwerken verschafft hat.

Gestohlene Zugangsdaten ermöglichen den Zugriff auf Netzwerke

Die Angreifer beschaffen sich funktionierende Anmeldedaten aus früheren Datenlecks, Aufzeichnungen von Infostealern sowie durch Credential Stuffing und Password Spraying.

Nachdem sie Zugriff auf ein Gerät erlangt haben, extrahieren sie zusätzliche Authentifizierungsdaten. Anschließend verwenden sie einen verteilten GPU-Cluster, auf dem Hashcat und Hashtopolis laufen, um gestohlene Passwort-Hashes offline zu knacken.

Dadurch können bei der Kompromittierung mehr Zugangsdaten offengelegt werden als diejenigen, die für die ursprüngliche Anmeldung verwendet wurden.

In einigen Fällen erstellen die Angreifer neue Administratorkonten, bevor sie bestehende Konten löschen oder deren Passwörter ändern. Dadurch werden berechtigte Administratoren ausgesperrt, während die Eindringlinge die Kontrolle übernehmen.

Anschließend richten die Angreifer einen dauerhaften Zugang ein und versuchen, in andere Bereiche des Netzwerks vorzudringen.

FortiBleed-Datenleck enthüllte umfangreiche Sammlung von Zugangsdaten

FortiBleed wurde im Juni bekannt, nachdem die Angreifer versehentlich einen Server offengelegt hatten, der Benutzernamen und Passwörter im Klartext enthielt. Der Datensatz umfasste 73.932 Firewall-URLs aus 194 Ländern.

Die Entdeckung offenbarte eine umfangreiche Operation zur Sammlung von Zugangsdaten. Allerdings konnten die Forscher zunächst nicht feststellen, wie die Angreifer an die Konfigurationsdaten gelangt waren.

Im Juli brachte SOCRadar die Kampagne mit den Ransomware-Gruppen INC und Lynx in Verbindung, nachdem das Unternehmen auf einem Kampagnenserver Zugriff auf die Verhandlungspanels beider Gruppen erhalten hatte.

Nach der neuesten Zählung von SOCRadar liegt die Zahl der kompromittierten Geräte bei 86.644. Diese Zahl entspricht der aktualisierten Einschätzung des Unternehmens und nicht dem ursprünglichen Datensatz vom Juni.

Offengelegte Tools zeigen, wie Angreifer ihre Opfer auswählten

Der versehentlich offengelegte Backend-Server enthielt außerdem Skripte, operative Werkzeuge und Informationen über Angriffsziele.

Die Forscher fanden automatisierte Scan-Tools für öffentlich erreichbare FortiGate-SSL-VPN-Portale sowie die verteilte Infrastruktur zum Knacken von Passwörtern. Weitere Skripte überprüften Zugangsdaten, filterten Honeypots heraus und identifizierten Organisationen.

Darüber hinaus halfen die Werkzeuge dabei, Ziele anhand ihres Umsatzes und ihrer Netzwerkstruktur zu priorisieren.

Funktionsfähige VPN-Konfigurationen und Ziellisten deuteten darauf hin, dass der Betreiber kompromittierte Zugänge für den Verkauf vorbereitete. Folglich könnten FortiBleed-Angriffe nicht nur den ursprünglichen Eindringlingen, sondern auch anderen Kriminellen Zugang verschaffen.

Die Warnung des FBI stellt einen Zusammenhang zwischen dieser Bereitstellung von Zugängen und Ransomware-Aktivitäten her.

Wiederherstellung kann mehr als Passwortänderungen erfordern

Das FBI warnte davor, dass die Installation von Sicherheitsupdates und das Zurücksetzen von Fortinet-Passwörtern möglicherweise nicht ausreichen, um eine Kompromittierung vollständig zu beheben.

Zu den Empfehlungen gehören die Einschränkung des externen Zugriffs, die Beendigung aller aktiven VPN-Sitzungen und die Durchsetzung der Multifaktor-Authentifizierung. Administratoren sollten außerdem Protokolle auf unautorisierte Kontoänderungen und andere verdächtige Aktivitäten überprüfen.

Diese Kontrollen können dabei helfen, Zugriffs- oder Konfigurationsänderungen zu erkennen, die nach einem ersten Zurücksetzen der Passwörter bestehen bleiben.

Darüber hinaus empfahl das FBI, PBKDF2 anstelle älterer SHA-256-Hashes für die Speicherung von Administratorpasswörtern zu verwenden. PBKDF2 bietet einen stärkeren Schutz gegen die in der Kampagne beschriebenen Methoden zum Offline-Knacken von Passwörtern.

Organisationen, die eine vermutete Kompromittierung untersuchen, sollten daher sowohl den Zugriff auf ihre Geräte als auch Anzeichen für eine seitliche Bewegung der Angreifer innerhalb ihrer Netzwerke überprüfen.