FortiBleed beim Abgreifen von Zugangsdaten mit Ransomware-Aktivitäten von INC und Lynx in Verbindung gebracht

Eine neu entdeckte Operation zum Diebstahl von Zugangsdaten namens FortiBleed wurde nun mit den Ransomware-Ökosystemen INC und Lynx in Verbindung gebracht. Dies deutet darauf hin, dass der gestohlene Zugriff zur Unterstützung späterer Eindringversuche genutzt wurde. Laut einem Bericht von SOCRadar wurde beobachtet, wie ein mit dem FortiBleed-Backend verbundener Betreiber die Verhandlungsportale beider Ransomware-Gruppen verwaltete. Damit entsteht nach Angaben des Unternehmens die erste direkte Verbindung zwischen dem groß angelegten Abgreifen von FortiGate-Zugangsdaten und dem Einsatz von Ransomware.

SOCRadar zufolge umfasste die Kampagne das Scannen von rund 11.250 FortiGate-Portalen im gesamten Internet in mehr als 150 Ländern. Bei seiner Analyse stellte das Unternehmen bestätigten Zugriff auf Administratorebene bei 409 Systemen fest sowie Hinweise darauf, dass die vollständige Angriffskette bei 354 dieser Systeme abgeschlossen wurde. Mindestens 12 Ransomware-Vorfälle scheinen darauf gefolgt zu sein, wobei Hunderte Endpunkte in betroffenen Unternehmen verschlüsselt wurden.

So lief die Kampagne ab

Die Aktivitäten wurden bekannt, nachdem die Angreifer einen operativen Fehler gemacht und einen Server im Internet zugänglich gelassen hatten. Das System enthielt Berichten zufolge Zugangsdaten, die von Tausenden Fortinet-Geräten gestohlen worden waren. SOCRadar schätzt, dass sich die Kampagne weltweit gegen rund 430.000 FortiGate-Firewalls richtete und mehr als 110 Millionen Zugangsdaten erbeutete. Das Unternehmen geht außerdem davon aus, dass auf etwa 12.000 Geräten ein maßgeschneiderter, auf Golang basierender Sniffer eingesetzt wurde, um Authentifizierungsdaten aus dem Netzwerkverkehr abzugreifen.

Die Forscher erklärten, der offengelegte Server sei Teil der internen Koordinationsumgebung der Angreifer gewesen und habe Ziellisten, abgegriffene Daten, Skripte sowie weitere operative Dateien enthalten. Aufgrund der eingesetzten Tools, der Protokollierungsmuster und der Arbeitszeiten wird vermutet, dass die Gruppe russischsprachig ist und möglicherweise als Initial Access Broker agiert. Die Zielauswahl konzentrierte sich stark auf Unternehmen aus den Bereichen Fertigung, Technologie und Logistik in Lateinamerika und im asiatisch-pazifischen Raum.

Breiteres Zielspektrum und verwandte Bedrohungen

SOCRadar erklärte außerdem, Hinweise darauf gefunden zu haben, dass sich die Operation über Fortinet-Hardware hinaus erstrecken könnte. Das interne Material enthielt Artefakte mit Bezug zu Citrix sowie eine Zielliste mit rund 29.000 IP-Adressen und 37 Domains, die mit Citrix-Umgebungen verknüpft sind. Dies beweise zwar kein massenhaftes Abgreifen von Daten aus Citrix-Produkten, so die Forscher, zeige jedoch eindeutig Vorbereitungen für ein breiteres Zielspektrum.

Das Unternehmen fügte hinzu, dass die Angreifer möglicherweise auch über eine Zero-Day-Schwachstelle in Nextcloud verfügen, und koordiniert sich hierzu mit dem Anbieter. In einer separaten Entwicklung berichtete eSentire über die aktive Ausnutzung einer Schwachstelle in Fortinet FortiClient EMS, die als CVE-2026-35616 geführt wird, zur Verbreitung von EKZ Stealer und zum Abgreifen von im Browser gespeicherten Zugangsdaten bei einem Opfer aus dem Energiesektor.