Erinnerst du dich an FortiBleed? Die riesige Kampagne, die still und leise Zugangsdaten von FortiGate-Firewalls absaugt, hat jetzt ein Gesicht bekommen — und es ist hässlicher als gedacht. Sicherheitsforscher von SOCRadar haben die gestohlenen Daten erstmals direkt mit zwei aktiven Ransomware-Banden verknüpft: INC und Lynx. Aus dem abstrakten Datenleck wird damit eine ganz konkrete Erpressungs-Pipeline.
SCHOCK: Dein VPN-Passwort ist eine Handelsware
Hinter FortiBleed steckt ein sogenannter Initial Access Broker — eine Gruppe von rund 20 Leuten, die nichts anderes tut, als Zugänge zu fremden Netzwerken zu sammeln und weiterzuverkaufen. Ihr Werkzeug: ein selbst geschriebenes Golang-Tool namens FortigateSniffer. Es missbraucht den eingebauten Diagnose-Befehl diagnose sniffer packet von FortiOS und liest damit Anmeldedaten aus dem laufenden Datenverkehr mit — über zwei Dutzend Protokolle hinweg.
Die Bilanz ist gewaltig: Mehr als 430.000 FortiGate-Firewalls weltweit wurden ins Visier genommen, über 110 Millionen Zugangsdaten sind zusammengekommen. Das ist kein Hobby-Projekt, das ist organisierte Industrie.
GEFAHR! Vom Datenleck direkt zur Erpressung
Der neue und entscheidende Fund: Die Forscher entdeckten einen Server der FortiBleed-Infrastruktur, dessen Betreiber aktiv in den Verhandlungs-Panels von INC Ransom und Lynx eingeloggt war — dort, wo Opfer über Lösegeld verhandeln. Damit ist die Kette geschlossen: gestohlene FortiGate-Zugänge auf der einen Seite, Verschlüsselungs-Erpressung auf der anderen. Mindestens 354 abgeschlossene Einbrüche und 12 Ransomware-Einsätze gehen laut Analyse bereits auf das Konto der Kampagne.
Pikant am Rande: Lynx gilt unter Forschern ohnehin als mutmaßlicher Rebrand von INC — gut möglich also, dass hier eine einzige Bande gleich doppelt kassiert.
So schützt du deine FortiGate in 15 MINUTEN
Wenn bei dir eine FortiGate läuft — ob in der Firma oder im ambitionierten Homelab — solltest du SOFORT drei Dinge tun:
1. Patchen: Bring FortiOS auf den aktuellen Stand. Die Sniffer-Masche setzt auf kompromittierten Geräten auf — je älter deine Firmware, desto größer das Einfallstor.
2. Zugangsdaten rotieren: ALLE VPN- und Admin-Passwörter ändern. Wenn deine Firewall in der Kampagnen-Zeit erreichbar war, musst du davon ausgehen, dass die alten Daten unterwegs sind.
3. MFA erzwingen: Ein gestohlenes Passwort ist wertlos, wenn dahinter noch ein zweiter Faktor wartet.
Extra-Check für Gründliche: Wirf einen Blick in die Logs, ob der Befehl diagnose sniffer packet auftaucht, ohne dass du ihn selbst abgesetzt hast — und ob unbekannte Admin-Sitzungen existieren.
EXTRA-WARNUNG: Auch Nextcloud im Visier
Ein Detail aus dem Bericht lässt Self-Hoster aufhorchen: Die Gruppe soll im Besitz von mindestens einer Zero-Day-Lücke in Nextcloud sein. Bestätigt ist dazu noch nichts — aber wer Nextcloud öffentlich erreichbar betreibt, sollte Updates in den nächsten Wochen besonders zügig einspielen.
FAZIT: Firewalls sind Beute, keine Deko
FortiBleed zeigt brutal deutlich: Genau die Geräte, die dein Netz schützen sollen, sind für Kriminelle die wertvollsten Ziele. Eine Firewall, die nie gepatcht wird, ist keine Schutzmauer — sie ist ein Türsteher, der längst für die andere Seite arbeitet.
Häufige Fragen
Welche Geräte sind von FortiBleed betroffen?
Wie merke ich, ob meine FortiGate kompromittiert ist?
Was sollte ich jetzt konkret tun?
Was sind INC und Lynx für Gruppen?
Quellen: SOCRadar · BleepingComputer · The Hacker News