FortiBleed-Leck legt Fortinet- und FortiGate-VPN-Zugangsdaten von mehr als 73.000 Geräten offen
FortiBleed-Leck legt Zehntausende VPN-Zugangsdaten offen
Ein neu entdecktes Datenleck mit dem Namen „FortiBleed“ hat offenbar eine große Sammlung von Fortinet- und FortiGate-VPN-Zugangsdaten offengelegt, die mit 73.932 Firewall-URLs bei Organisationen weltweit verknüpft sind.
Der Sicherheitsforscher Bob Diachenko sagte, dass er zunächst einen Server gefunden habe, der offenbar gültige Fortinet-VPN-Zugangsdaten enthielt, darunter Benutzernamen, E-Mail-Adressen und Passwörter im Klartext. Screenshots und Details, die er teilte, zeigen Einträge, die mit Unternehmen wie Chevron, Samsung, Foxconn, Comcast, AT&T, Mercedes-Benz, Toyota, Sinopec und State Grid sowie vielen anderen verknüpft sind.
„Massive Fortinet/FortiGate-Bruteforce/aktive Exploit-Kampagne in Aktion aufgedeckt“, schrieb Diachenko auf LinkedIn.
Er sagte, eine einzelne Datei habe allein 21.634 Domainnamen enthalten, die ein breites Spektrum von Organisationen abdecken und auch Fortinet selbst einschließen. Die offengelegten Datensätze enthielten außerdem Kommentare, die für jedes Ziel Branche, Umsatz und Mitarbeiterzahl auflisteten, was darauf hindeutet, dass die Daten für Angriffsplanung organisiert waren.
Später sagte Diachenko, die Operation scheine von einer russischsprachigen, multioperatorischen Bedrohungsgruppe betrieben worden zu sein, die Zugangsdaten für FortiGate SSL VPN-Geräte gesammelt habe. Seiner Darstellung zufolge führten die Angreifer etwa 1,16 Milliarden Anmeldeversuche gegen 320.777 FortiGate-Ziele durch, sowie weitere 2,1 Milliarden Versuche gegen 163.650 Microsoft SQL Server-Systeme.
Er sagte außerdem, die Gruppe habe SSL VPN-Authentifizierungs-Hashes abgefangen, diese mit einem 45-GPU-Cluster über Hashtopolis geknackt und die wiederhergestellten Zugangsdaten genutzt, um lateral in interne Active Directory-Umgebungen vorzudringen.
Diachenko teilte BleepingComputer mit, dass er auf demselben Server zusätzliche Dateien gefunden habe, darunter Artefakte, Verbindungsstrings, Tools, Skripte und Protokolle, die halfen, die Aktivität zu rekonstruieren.
Seiner Untersuchung zufolge wurden mehrere Organisationen in Japan, Taiwan, Vietnam, Irak und Türkei vollständig kompromittiert, darunter ein türkischer NATO-Rüstungsauftragnehmer, von dem angeblich vertrauliche Dokumente gestohlen wurden.
Die Threat-Intelligence-Firma Hudson Rock veröffentlichte später nach Erhalt des Datensatzes von Diachenko ihre eigene Analyse. Sie beschrieb die Sammlung als eine der größten bekannten Sammlungen kompromittierter Fortinet-bezogener Zugangsdaten und gab an, dass sie 73.932 einzigartige Firewall-URLs in 194 Ländern enthält und 21.632 einzigartige Domains betrifft.
Fortinet erklärte in einer Stellungnahme, man sei über die Berichte informiert und das Problem gehe nicht auf eine Schwachstelle in einem Fortinet-Produkt zurück.
Quellen:
Weitere Tech‑News auf dem Doppler VPN Blog.