Eindringen in Fortinet-Firewalls mit Ransomware-Aktivitäten und der Ausnutzung von Nextcloud in Verbindung gebracht

Angreifer, die mit der sogenannten FortiBleed-Aktivität in Verbindung stehen, versuchen Berichten zufolge, unbefugten Zugriff auf Fortinet-Firewalls zu Geld zu machen. Dem Bericht zufolge dringen die Betreiber nicht mehr nur in großem Umfang in Netzwerke ein, sondern versuchen nun, diesen Zugriff zu monetarisieren, und scheinen mit Ransomware-Gruppen zusammenzuarbeiten.

Zu den im Zusammenhang mit dieser Aktivität genannten Gruppen gehören INC und Lynx, zwei Ransomware-Marken, die in jüngsten Kampagnen aktiv waren. Diese Entwicklung deutet darauf hin, dass Eindringversuche in Firewalls als Ausgangspunkt für umfassendere Erpressungsversuche dienen und nicht als isolierte Kompromittierungen. Sobald sich die Bedrohungsakteure Zugriff auf Perimeter-Geräte verschafft haben, können sie möglicherweise tiefer in die anvisierten Umgebungen vordringen, Zugangsdaten sammeln und besonders wertvolle Systeme identifizieren.

Nextcloud-Zero-Day verschärft die Bedrohungslage

Im selben Bericht heißt es außerdem, dass Angreifer eine separate Zero-Day-Schwachstelle in Nextcloud ausnutzen. Diese Entwicklung weist auf ein umfassenderes Muster hin, bei dem Kriminelle neu offengelegte oder bislang unbekannte Schwachstellen schnell übernehmen, um ihre Reichweite zu vergrößern. Indem sie den Zugriff über Edge-Geräte mit der Ausnutzung von Fehlern auf Anwendungsebene kombinieren, können Angreifer die Wahrscheinlichkeit erhöhen, ungeschützte Organisationen zu finden und herkömmliche Abwehrmaßnahmen zu umgehen.

Fortinet-Appliances und Kollaborationsplattformen wie Nextcloud sind häufige Ziele, da sie oft im Zentrum des Unternehmenszugriffs stehen. Wird eines dieser Systeme kompromittiert, können die Auswirkungen erheblich sein – insbesondere dann, wenn Administratoren noch keine Updates eingespielt oder Protokolle auf ungewöhnliche Aktivitäten geprüft haben.

Worauf Organisationen achten sollten

• Fortinet-Firewall-Protokolle auf Anzeichen für unbefugten Zugriff oder Änderungen an der Konfiguration überprüfen.
• Nextcloud-Systeme unverzüglich aktualisieren, sobald für eine bestätigte Zero-Day-Schwachstelle Patches verfügbar sind.
• Auf ungewöhnliche Authentifizierungsaktivitäten, neue Konten oder unerwartete Remoteverbindungen prüfen.
• Kritische Systeme segmentieren, um den Schadensradius im Falle einer Kompromittierung eines Edge-Geräts zu begrenzen.

Sicherheitsteams sollten Eindringversuche in Edge-Geräte als dringend einstufen, da diese Angreifern einen direkten Weg in interne Netzwerke und in manchen Fällen eine schnelle Route zur Bereitstellung von Ransomware bieten können.