FortiBleed-Aktivitäten mit INC Ransom und Lynx verknüpft, sagen Forscher

Forscher sagen, dass die FortiBleed-Kampagne vom vergangenen Monat enger mit dem Ransomware-Ökosystem verbunden ist als zunächst angenommen. Sie fanden Beweise dafür, dass ein Betreiber offenbar Affiliate-Zugriff sowohl für INC Ransom als auch für Lynx genutzt hat.

Die Threat Research Unit von SOC Radar erklärte, sie habe wochenlang die mit der Kampagne verbundene Infrastruktur kartiert und Protokolle von einem Server entdeckt, der aufgrund eines Fehlers bei der Betriebssicherheit offengelegt worden war. Diese Aufzeichnungen zeigten den Angaben zufolge, dass sich ein Mitglied der Gruppe von Initial-Access-Brokern bei den Affiliate-Panels beider Ransomware-Gruppen anmeldete. Dies deutet auf eine direkte Verbindung zwischen gestohlenem FortiGate-Zugriff und nachgelagerten Erpressungsaktivitäten hin.

Beweise deuten auf Übergabe an Ransomware-Gruppen hin

Den Forschern zufolge ist die gemeinsame Anmeldeaktivität bislang das stärkste Indiz dafür, dass FortiBleed nicht einfach nur dem Diebstahl von Zugangsdaten diente, sondern Teil der Pipeline war, über die Ransomware-Gruppen Zugriff auf die Netzwerke von Opfern erhalten. Das Team erklärte, es habe bislang mindestens zwölf Ransomware-Vorfälle mit Organisationen in Verbindung gebracht, die von FortiBleed betroffen waren.

SOC Radar erklärte außerdem, dass die umfassendere Kampagne größer gewesen sei, als frühe Zahlen zu den Angriffen vermuten ließen. Die Analyse umfasste 11.250 Fortinet-Portale, obwohl Berichten zufolge mehr als 430.000 Firewalls ins Visier genommen wurden. Für 409 Systeme bestätigten die Forscher Administratorzugriff. Bei 354 dieser Systeme hätten die Angreifer den vollständigen Angriffspfad abgeschlossen, einschließlich der Kompromittierung von VPNs, des Zugriffs auf interne Netzwerke sowie des Zugriffs auf Domänencontroller und Konten von Domänenadministratoren.

So funktionierte die Kampagne

FortiBleed wurde am 17. Juni bekannt gegeben und nicht als neuartige Software-Schwachstelle beschrieben. Stattdessen fingen die Angreifer laut Ermittlern SSL-VPN-Authentifizierungsdaten ab und knackten die erfassten Hashes anschließend mithilfe eines großen GPU-Clusters, der über Hashtopolis verwaltet wurde. Sobald die Zugangsdaten wiederhergestellt waren, konnten sich die Betreiber in die Active-Directory-Umgebungen der Opfer bewegen und ihre Persistenz aufrechterhalten.

Fortinet hatte zuvor PBKDF2 für die Speicherung von Zugangsdaten eingeführt. Die Änderung wurde jedoch erst wirksam, nachdem sich Administratoren erneut angemeldet hatten. Daher nutzten einige Organisationen möglicherweise weiterhin die ältere, auf SHA-256 basierende Speicherung mit Salt, die stärker Brute-Force-Angriffen ausgesetzt ist.

Frühe Berichte über die Kampagne legten nahe, dass mehr als 73.000 eindeutige Firewall-URLs erfolgreich angegriffen worden sein könnten. Später tauchte eine lange Liste großer Unternehmen in öffentlichen Diskussionen über den Vorfall auf.

Für Verantwortliche im Bereich der Abwehr unterstreichen die neuesten Erkenntnisse, dass die Gefährdung von FortiGate-Systemen schnell zu einem umfassenderen Ransomware-Risiko führen kann – insbesondere, wenn gestohlener Zugriff weiterverkauft oder von mehreren kriminellen Gruppen wiederverwendet wird.