Fortinet Firewalls: Berichte über massive Kompromittierung von FortiGate Zugängen
Berichte über zehntausende kompromittierte Fortinet FortiGate Firewalls zeigen, wie kritisch exponierte VPN und Management Zugänge sind. Admins sollten Firmware, MFA, Logs und Zugangsdaten prüfen.
Sicherheitsforscher berichten über eine außergewöhnlich große Angriffskampagne gegen öffentlich erreichbare Fortinet FortiGate Installationen. Nach Angaben von Infostealers und WinFuture sollen rund 74.000 bis 75.000 Firewalls in 194 Ländern betroffen sein. Die Angreifer hatten es offenbar nicht nur auf einzelne Geräte abgesehen, sondern auf verwertbare Zugangsdaten, VPN-Zugänge und Informationen über interne Unternehmensnetze. Für Administratoren ist der Fall besonders relevant, weil Firewalls und VPN-Gateways häufig direkt an der Netzgrenze stehen und ein erfolgreicher Zugriff schnell zum Einstieg in Active Directory, interne Server und Cloud-Dienste werden kann.
Was bekannt ist
Ausgangspunkt der aktuellen Berichte ist eine Untersuchung rund um eine Kampagne, die unter dem Namen FortiBleed beschrieben wird. Laut Infostealers wurden Datensätze zu tausenden kompromittierten Fortinet Geräten gefunden. Die Angaben umfassen demnach unter anderem Hostnamen, IP-Adressen, Benutzernamen, Passwörter und ergänzende Unternehmensinformationen. WinFuture berichtet zusätzlich, dass der Sicherheitsforscher Bob Diachenko von Security Discovery Zugriff auf Infrastruktur der Täter erhalten und dort umfangreiche Datenbestände eingesehen haben soll.
Die Angreifer sollen öffentlich erreichbare FortiGate Zugänge systematisch gescannt und anschließend automatisierte Anmeldeversuche in großem Maßstab durchgeführt haben. Laut Bericht kam dafür eigens entwickelte Software zum Einsatz, die sehr viele parallele Verbindungen verarbeiten konnte. Besonders kritisch ist der Hinweis, dass die Angreifer nicht bei einem reinen Login stehenblieben, sondern aus erfolgreichen Zugriffen weitere Informationen über interne Netze, Benutzerstrukturen und zentrale Authentifizierungssysteme ableiteten.
Warum Firewall Zugänge so kritisch sind
Firewalls und VPN-Gateways sind keine gewöhnlichen Systeme. Sie sitzen an einer Stelle, an der viele Sicherheitsentscheidungen zusammenlaufen. Wer dort Zugriff erhält, sieht oft mehr als auf einem einzelnen Client: Remote-Zugänge, Routing, interne Netze, Standortkopplungen, Benutzergruppen und manchmal auch Hinweise auf Active Directory oder RADIUS-Anbindungen.
Bei FortiGate Installationen kommt hinzu, dass sie in vielen Unternehmen als zentraler Zugang für Homeoffice, externe Dienstleister oder Standortvernetzung dienen. Ein kompromittierter Account kann deshalb ausreichen, um sich wie ein legitimer Benutzer in das Unternehmensnetz einzuwählen. Danach folgen typischerweise die nächsten Schritte: Auskundschaften, Rechteausweitung, Zugriff auf Dateiablagen, Passwortdiebstahl und im schlimmsten Fall Ransomware Vorbereitung.
| Risiko | Warum es wichtig ist | Empfohlene Reaktion |
|---|---|---|
| Kompromittierte VPN Zugangsdaten | Angreifer können sich wie legitime Benutzer anmelden | Passwörter ändern, MFA erzwingen, aktive Sessions beenden |
| Offene Management Oberfläche | Login Portale im Internet sind dauerhaft scanbar | Management nur über internes Netz oder Admin VPN erlauben |
| Veraltete Firmware | Bekannte Fortinet Lücken werden regelmäßig massenhaft ausgenutzt | Firmwarestand prüfen und Fortinet PSIRT Hinweise abgleichen |
| AD oder RADIUS Anbindung | Ein Gateway Zugriff kann Hinweise auf zentrale Identitäten liefern | AD Logs, RADIUS Logs und fehlgeschlagene Logins prüfen |
| Wiederverwendete Passwörter | Ein erbeutetes Passwort kann auch bei anderen Diensten funktionieren | Credential Rotation und Passwortmanager Richtlinien prüfen |
Technischer Hintergrund
Nach bisheriger Darstellung handelt es sich nicht um einen einzelnen simplen Exploit, sondern um eine Kombination aus großflächiger Erkennung erreichbarer Fortinet Systeme, automatisierten Login Versuchen und anschließender Auswertung erfolgreicher Zugriffe. Infostealers beschreibt den Vorfall als globale Kompromittierung von Fortinet Firewalls bei Unternehmen unterschiedlicher Branchen. WinFuture nennt zusätzlich, dass auch Organisationen aus kritischer Infrastruktur und internationale Unternehmen betroffen sein sollen.
Hudson Rock wird in der Berichterstattung mit der Einschätzung zitiert, dass abgefangene VPN Zugangsdaten mithilfe leistungsstarker GPU Systeme entschlüsselt oder geprüft wurden. Das passt zu einem bekannten Muster: Angreifer sammeln zunächst große Mengen Zugangsdaten, kombinieren diese mit Informationen aus Infostealer Logs, prüfen Treffer automatisiert und verwenden erfolgreiche Logins anschließend für gezielte Folgeangriffe.
Wichtig ist die saubere Einordnung: Die öffentlich genannten Zahlen und Details stammen aus Sicherheitsberichten und Medienauswertungen. Unternehmen sollten deshalb nicht nur nach genau einem CVE suchen, sondern ihre gesamte Fortinet Exposition prüfen: Firmwarestand, öffentlich erreichbare Dienste, Admin Oberflächen, VPN Konfiguration, MFA Pflicht, lokale Benutzerkonten, AD Anbindung und Logdaten.
Was Admins jetzt prüfen sollten
Wer Fortinet FortiGate oder FortiOS einsetzt, sollte die Meldung als Anlass für eine strukturierte Sofortprüfung nutzen. Dabei geht es nicht nur um Updates, sondern auch um die Frage, ob Zugangsdaten bereits missbraucht wurden.
- Firmwarestand prüfen: FortiOS und FortiGate Firmware mit den aktuellen Fortinet PSIRT Hinweisen abgleichen.
- Internet Exposition prüfen: Management Oberflächen dürfen nicht frei aus dem Internet erreichbar sein.
- VPN Benutzer prüfen: Unbekannte, alte oder nicht mehr benötigte Accounts deaktivieren.
- MFA erzwingen: VPN Zugriff ohne Mehrfaktor Authentifizierung ist bei Internet Exposition ein hohes Risiko.
- Passwörter rotieren: Besonders für lokale Firewall Benutzer, VPN Nutzer und Dienstkonten.
- Logs auswerten: Erfolgreiche Logins aus ungewöhnlichen Ländern, Uhrzeiten oder IP Bereichen prüfen.
- AD und RADIUS prüfen: Fehlgeschlagene Logins, neue Gruppenmitgliedschaften und verdächtige Authentifizierungen kontrollieren.
- Sessions beenden: Aktive VPN Sessions nach Passwortwechseln neu authentifizieren lassen.
- Backups prüfen: Konfigurationsbackups sichern, aber auch auf enthaltene Secrets achten.
- Monitoring schärfen: FortiGate Logs in SIEM, Syslog oder Monitoring übernehmen.
Indikatoren und Logsuche
Ein einzelner IoC Satz reicht bei dieser Art Kampagne nicht aus. Sinnvoller ist eine Kombination aus Logsuche und Verhaltensanalyse. Administratoren sollten insbesondere folgende Ereignisse prüfen:
- Viele fehlgeschlagene VPN Logins gegen denselben Benutzer
- Erfolgreiche Logins von neuen ASN, Cloud Providern oder Ländern
- VPN Sessions außerhalb üblicher Arbeitszeiten
- Neue lokale Benutzer oder geänderte Admin Rechte auf der Firewall
- Änderungen an Firewall Policies, NAT Regeln oder Routing
- Exportierte oder heruntergeladene Konfigurationen
- Ungewöhnliche LDAP, RADIUS oder SAML Authentifizierungsfehler
- Login Treffer für Konten, die eigentlich deaktiviert sein sollten
Wenn solche Treffer sichtbar werden, sollte der Vorfall nicht als reines Passwortproblem behandelt werden. Dann ist eine vollständige Incident Response sinnvoll: Timeline sichern, Logs exportieren, Konfiguration versionieren, betroffene Accounts sperren und nach möglichen Folgeschritten im internen Netz suchen.
Einordnung für KMU und Admins
Für kleine und mittlere Unternehmen ist die Meldung besonders relevant, weil Fortinet Firewalls häufig einmal eingerichtet und danach nur punktüll gepflegt werden. Genau diese Systeme sind für Angreifer attraktiv. Sie sind aus dem Internet erreichbar, oft lange im Einsatz und bilden eine Brücke in interne Netze. Eine Firewall darf deshalb nicht als statisches Gerät betrachtet werden, sondern als besonders kritischer Server mit Patch, Logging und Zugriffskontrolle.
Die wichtigste Lehre aus dem Fall ist nicht nur Fortinet spezifisch. Jede öffentlich erreichbare VPN oder Firewall Lösung braucht ein klares Betriebsmodell: regelmäßige Firmware Updates, dokumentierte Admin Konten, MFA Pflicht, kein öffentliches Management, zentrale Logauswertung und Notfallprozess für Credential Rotation.
Passende Anleitungen auf S-EDV
- pfSense und OPNsense als Firewall erstkonfigurieren zeigt Grundlagen für saubere Firewall Regeln und Management Zugriffe.
- Zero Trust Netzwerksegmentierung im KMU erklärt, wie interne Netze auch nach einem Gateway Vorfall begrenzt werden können.
- CISA KEV als Pflichtlektüre für Admins hilft bei der Priorisierung aktiv ausgenutzter Schwachstellen.
Fazit
Die Berichte über kompromittierte Fortinet Firewalls zeigen erneut, wie gefährlich exponierte VPN und Firewall Systeme sind. Wer FortiGate einsetzt, sollte nicht abwarten, ob der eigene Name in einem Leak auftaucht. Jetzt zählen Firmware Prüfung, Einschränkung der Management Erreichbarkeit, MFA, Credential Rotation und eine ernsthafte Logauswertung. Besonders wichtig: Wenn Zugangsdaten im Spiel sind, reicht Patchen allein nicht aus. Passwörter und Tokens müssen erneürt und verdächtige Sitzungen beendet werden.
