NCSC warnt Organisationen nach globaler Kampagne gegen Fortinet-Firewalls und VPN-Gateways

Das britische National Cyber Security Centre (NCSC) hat neue Empfehlungen herausgegeben, nachdem Fortinet-Firewall- und VPN-Produkte ins Visier einer weltweiten Kampagne geraten sind, von der möglicherweise auch einige Organisationen im Vereinigten Königreich betroffen waren.

Nach Angaben der Behörde scheinen die Angreifer Brute-Force-Versuche, Wörterbuchangriffe und Credential-Stuffing-Angriffe gegen aus dem Internet erreichbare FortiGate- und VPN-Portale eingesetzt zu haben. In einigen Fällen soll ein Bedrohungsakteur nach diesen Versuchen eine Datenbank mit Zugangsdaten veröffentlicht haben. Beim Credential Stuffing werden Kombinationen aus Benutzernamen und Passwörtern ausprobiert, die von anderen Diensten gestohlen wurden – in der Hoffnung, dass Betroffene dieselben Anmeldedaten auch an anderer Stelle wiederverwendet haben.

Wer betroffen sein könnte

Die Warnung gilt für Organisationen, die Fortinet-Edge-Geräte einsetzen, insbesondere wenn SSL-VPN aktiviert und aus dem Internet erreichbar ist. Das NCSC erklärt, dass diese Organisationen prüfen sollten, ob sie exponiert waren, und nach Anzeichen dafür suchen sollten, dass ihre Geräte kompromittiert wurden.

• Verwenden Sie einen FortiBleed-Asset-Checker, etwa die von SOCRadar oder Hudson Rock bereitgestellten Tools, um zu prüfen, ob eine Ihrer Domains in Listen zur Frühwarnung erscheint.
• Bestätigen Sie, dass das Gerät existiert, unter Ihrer Kontrolle steht und aus dem Internet erreichbar ist.
• Überprüfen Sie die Protokolle und suchen Sie nach Kompromittierungsindikatoren, einschließlich der unbefugten Erstellung von Konten oder anderer ungewöhnlicher Aktivitäten.
• Wenn eine Kompromittierung vermutet wird, trennen Sie das Gerät sowohl vom Internet als auch vom internen Netzwerk.

Empfohlene Maßnahmen

Das NCSC erklärt, dass betroffene Organisationen einen vollständigen Werksreset des Geräts in Betracht ziehen sollten, anstatt sich ausschließlich auf eine Änderung der Passwörter zu verlassen, da Angreifer möglicherweise Persistenz eingerichtet haben. Vor dem Zurücksetzen sollten Teams Protokolle, Konfigurationen und alle anderen Artefakte sichern, die bei der Untersuchung hilfreich sein könnten.

Organisationen werden außerdem aufgefordert, andere Edge-Geräte zu untersuchen, die möglicherweise dieselben Zugangsdaten verwenden, und Systeme zu überprüfen, die vom betroffenen Gerät aus erreichbar gewesen sein könnten. Die Überwachung der Firewall-Protokolle auf Anzeichen für laterale Bewegungen wird empfohlen, um festzustellen, ob sich der Vorfall weiter ausgebreitet hat.

Nach der Wiederinbetriebnahme empfiehlt das NCSC, die Umgebung abzusichern, indem Management-Schnittstellen nicht mehr aus dem Internet erreichbar sind, die neuesten Updates installiert werden, nicht mehr unterstützte Systeme außer Betrieb genommen werden, standardmäßige oder wiederverwendete Administratorpasswörter geändert werden und eine Multi-Faktor-Authentifizierung für VPN- und Management-Zugriffe durchgesetzt wird. Außerdem wird empfohlen, PBKDF2 für Administratorkonten zu aktivieren und alle Administratoren zu verpflichten, sich erneut anzumelden.

Die Behörde erinnerte britische Organisationen außerdem daran, dass ihr Early-Warning-Dienst Warnungen über bösartige Aktivitäten bereitstellen kann, die ihre Netzwerke betreffen.