Riesige Angriffswelle: Hacker knacken Admin-Passwörter von 74.000 Firewalls
Angreifer sind offenbar an gültige Admin-Zugangsdaten für Zehntausende Firewalls des Herstellers Fortinet gelangt, wodurch sie Zugriff auf interne Netzwerke unzähliger Unternehmen auf der ganzen Welt haben. Zuerst auf den Vorfall aufmerksam gemacht hatte der Sicherheitsforscher Volodymyr Diachenko auf Linkedin(öffnet im neuen Fenster). Forscher von Hudson Rock gehen in einer eigenen Analyse(öffnet im neuen Fenster) aber noch weiter ins Detail.
Die Angreifer nahmen demnach 1,16 Milliarden Anmeldeversuche an über 320.000 Fortinet-Firewalls sowie 2,1 Milliarden Brute-Force-Versuche an über 160.000 MSSQL-Servern vor. Tatsächlich kompromittiert wurden nach aktuellem Kenntnisstand Admin-Passwörter für 73.932 Firewalls hinter 21.632 Domains von Organisationen aus 194 verschiedenen Ländern.
Hudson Rock listet in seinem Bericht jeweils die 30 am stärksten betroffenen Wirtschaftssektoren und Länder auf. Spitzenreiter ist darin Indien mit 9.629 Firewalls, gefolgt von den USA (6.352), Taiwan (3.637) und Mexiko (3.197). Deutschland ist in der Liste nicht vertreten, so dass hierzulande weniger als die 547 Firewalls des letztplatzierten Landes Ecuador betroffen sein dürften.
Echte und aktuelle Daten
Hinter der Fortibleed genannten Angriffskampagne soll eine namentlich nicht genannte russischsprachige Hackergruppe stecken. Wie der Sicherheitsforscher Kevin Beaumont in einem Blogbeitrag bestätigt(öffnet im neuen Fenster), scheinen die erbeuteten Admin-Zugangsdaten echt und in großen Teilen noch gültig zu sein. Die betroffenen Fortinet-Appliances sollen zudem fast alle noch über das Internet erreichbar sein.
Dass es sich nur um ältere Daten aus früheren Datenlecks handelt, ist also auszuschließen. Laut Beaumont scheinen die Angreifer die Zugangsdaten aus Konfigurationsexporten erlangt zu haben. Wie genau sie an diese Exportdaten gelangt sind, ist allerdings noch unklar. Die Angreifer könnten dafür eine Zero-Day-Lücke ausgenutzt haben. Viele der betroffenen Firewalls sind nach Angaben des Forschers auf einem aktuellen Patch-Stand.
Knacken alter Hashes
Jedoch soll Fortinet infolge früherer Leaks mit Firewall-Konfigurationsdaten seit Anfang 2025 mit Updates für sein Firewall-Betriebssystem FortiOS auch einen Wechsel des zur Speicherung der Admin-Zugangsdaten verwendeten Hashing-Algorithmus von SHA-256 auf PBKDF2 vollzogen haben. Bestehende Zugangsdaten werden aber wohl nur entsprechend aktualisiert, wenn Admins sich nach dem Update am jeweiligen Gerät neu anmelden.
Die ältere Hashing-Implementierung soll derweil anfällig für Brute-Force-Attacken sein, was die Angreifer vermutlich ausgenutzt haben. Dazu passen auch von Diachenko in einem separaten Linkedin-Beitrag(öffnet im neuen Fenster) geteilte Angaben, laut denen die Angreifer ein mit Hashtopolis(öffnet im neuen Fenster) verwaltetes Cluster mit 45 GPUs genutzt haben sollen, um massenhaft Hashes zu knacken.
Gegenüber Bleeping Computer(öffnet im neuen Fenster) ließ ein Fortinet-Sprecher verlauten, das Unternehmen gehe nach aktuellen Erkenntnissen davon aus, dass es sich "bei den betroffenen Daten um eine erneute Verbreitung von Daten aus früheren Vorfällen sowie um Brute-Force-Angriffe auf Anmeldedaten" handle. Die Untersuchungen diesbezüglich laufen aber wohl noch.
Admins sollten handeln
Wer eine Fortinet-Firewall administriert, findet sowohl im Blog von Kevin Beaumont(öffnet im neuen Fenster) als auch bei Hudson Rock(öffnet im neuen Fenster) einige Handlungsempfehlungen zum Umgang mit dem Vorfall. Betroffene sollten den Onlinezugriff auf die Verwaltungsschnittstellen ihrer Firewalls demnach nach Möglichkeit blockieren, ihre Admin-Zugangsdaten rotieren, die Multi-Faktor-Authentifizierung aktivieren und alle verfügbaren FortiOS-Updates einspielen.
Die Hudson-Rock-Forscher haben ein Suchwerkzeug bereitgestellt(öffnet im neuen Fenster), mit dem Admins prüfen können, ob ihre Firewalls betroffen sind. Dort werden Domains zahlreicher namhafter Unternehmen als betroffen aufgelistet, darunter Samsung, Spotify, Sony, Oracle, Huawei, Lenovo, Siemens, DJI, Proton, DHL, Netgear, Broadcom, Vodafone und viele weitere.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.