FortiBleed zeigt, wie Edge-Zugangsdaten zu Treibstoff für Ransomware werden

CISA StopRansomware Leitfaden Grafik Quellbild: CISA StopRansomware-Richtlinien.

FortiBleed ist ein nützlicher Name für eine unordentliche, aber wichtige Risikoklasse: Perimetergeräte, gestohlene Zugangsdaten, wiederverwendete Passwörter, VPN-Exposition und Ransomware-Zugangsbörse, die alle um dieselbe Kontrollebene zusammenlaufen.

Berichte der letzten Zeit beschrieben einen großen Fortinet- und FortiGate-Zugangsdatenbestand, der Zehntausende von Firewall- oder VPN-Einträgen enthält. Der Sicherheitsforscher Volodymyr Diachenko soll ein Archiv mit 73.932 Fortinet- oder FortiGate-Firewall-URLs, Benutzernamen, E-Mails und Klartext-Passwörtern gefunden haben. ITPro berichtete, dass Hudson Rock den Vorfall als eine breitere Kampagne charakterisierte, die Brute-Force-Angriffe, das Sammeln von SSL-VPN-Authentifizierungs-Hashes und anschließend den Zugriff auf Active Directory-Umgebungen umfasst. Fortinet bestritt die Vorstellung, dass die Daten aus einer aktuellen Produktverletzung stammen, und erklärte, dass das Material eine Weitergabe älterer Daten und per Brute Force erlangter Zugangsdaten zu sein scheint, anstatt eine neue Fortinet-Warnung.

Diese Unterscheidung ist wichtig, aber sie macht das Risiko nicht klein. Wenn ein Zugang funktioniert, ist dem Angreifer egal, ob er aus einer neuen Schwachstelle, einem alten Vorfall, der Wiederverwendung von Passwörtern oder einem geknackten Hash stammt.

Diese Geschichte ist wichtig, weil sie zeigt, wie die Kompromittierung von Edge-Geräten zu einer Lieferkette für spätere Eindringversuche wird. Ein gestohlenes Firewall-Zugangsdaten ist nicht die endgültige Auswirkung. Es ist Inventar.

Warum Edge-Geräte attraktiv sind

Firewalls, VPNs, Gateways und Remote-Access-Geräte sind hochgradig wertvolle Ziele, weil sie sich am Perimeter befinden und oft privilegierte Vertrauensbeziehungen haben. Wenn Angreifer Anmeldedaten oder Sitzungsmaterial von diesen Systemen erhalten, könnten sie in die Umgebung durch dieselben Türen gelangen, die auch legitime Administratoren verwenden.

Edge-Geräte erzeugen auch betriebliche Herausforderungen. Sie können schwer schnell zu patchen sein, schwer tiefgehend zu überwachen und riskant, offline genommen zu werden. In vielen Organisationen werden sie eher als Infrastruktur denn als Endpunkte behandelt, was bedeutet, dass sie möglicherweise nicht die gleiche Erkennungsabdeckung haben.

Es gibt einen weiteren unangenehmen Faktor: Edge-Geräte überbrücken häufig Identitätsdomänen. Ein VPN-Gerät kann gegen Active Directory, LDAP, SAML, lokale Administratorenkonten, RADIUS oder Cloud-Identitätsanbieter prüfen. Wenn ein Angreifer das Gerät oder seine administrativen Anmeldeinformationen kompromittiert, kann der resultierende Vorfall mehr als nur ein einzelnes Gerät betreffen. Er kann Konfigurationen, Routen, Richtlinien, VPN-Benutzer, Zertifikate, vertrauenswürdige Netzwerke und manchmal Anmeldeinformationen oder Hashes offenlegen, die laterale Bewegungen ermöglichen.

Anmeldeinformationen Diebstahl ändert den Zeitplan

Wenn Anmeldedaten in großem Umfang gesammelt werden, endet das Risiko nicht, wenn eine Kampagne erstmals gemeldet wird. Diese Anmeldedaten können später verkauft, gehandelt, getestet oder von verschiedenen Gruppen verwendet werden. Ransomware-Affiliates müssen die ursprüngliche Sicherheitslücke nicht ausnutzen, wenn sie funktionierenden Zugang kaufen können.

Das bedeutet, dass die Behebung die Ungültigmachung von Anmeldeinformationen und Sitzungen umfassen muss, nicht nur das Einspielen von Patches.

Der Fehler des Verteidigers besteht darin, dies als Ticket für Schwachstellenmanagement zu behandeln. Patching ist notwendig, aber gestohlene Anmeldedaten überdauern Patches. Lokale Administrator-Konten überdauern Patches. Hintertür-Benutzer überdauern Patches. SAML-, LDAP-, RADIUS-, API- und Service-Konto-Expositionen können Patches überdauern. Wenn auf das Gerät zugegriffen wurde, sollte die Reaktion wie eine Vorfalluntersuchung aussehen.

Was zuerst überprüfen

Beginnen Sie mit den Beweisen, die zeigen würden, ob das Gerät nur ausgesetzt oder tatsächlich verwendet wurde:

Erfolgreiche und fehlgeschlagene VPN-Anmeldungen nach Konto, Quell-IP, Land und Zeit.
Administratormanagementanmeldungen an die Firewall- oder VPN-Konsole.
Konfigurationsexporte, Richtlinienänderungen, neue lokale Benutzer und neue API-Schlüssel.
Änderungen an vertrauenswürdigen Netzwerken, Authentifizierungsservern, Routing, NAT oder Protokollierung.
LDAP-, RADIUS-, SAML- und Active-Directory-Ereignisse, die mit Appliance-Anmeldungen übereinstimmen.
Neue Fernzugriffssitzungen aus ungewöhnlichen geografischen Regionen, ASNs, Wohnungsproxies oder Hosting-Anbietern.
Lücken in Protokollen, die auf Manipulation oder nur lokale Protokollierung hindeuten.

Wenn das Gerät nicht genügend Telemetrie an ein SIEM exportiert, gehen Sie davon aus, dass die Untersuchung eine blinde Stelle hat. Edge-Protokolle sollten außerhalb des üblichen Kanals versendet werden, da ein Angreifer mit Zugriff auf das Gerät möglicherweise lokale Spuren löschen kann.

Was Verteidiger tun sollten

Organisationen, die Fortinet und ähnliche Edge-Plattformen verwenden, sollten einen breiteren Reaktionsansatz verfolgen.

Patchen Sie betroffene Geräte und bestätigen Sie die Firmware-Integrität.
Ändern Sie administrative Zugangsdaten und API-Token.
Widerrufen Sie aktive Sitzungen, sofern möglich.
Überprüfen Sie VPN-Anmeldungen, Administratoranmeldungen, Konfigurationsänderungen und neue Konten.
Beschränken Sie Managementschnittstellen auf vertrauenswürdige Netzwerke.
Exportieren Sie Protokolle in ein separates SIEM, damit Angreifer lokale Beweise nicht löschen können.
Achten Sie auch nach der ursprünglichen Behebung auf spätere Zugriffe von ungewöhnlichen Standorten.
Überprüfen Sie Dienstkonten, die mit dem Gerät verbunden sind, einschließlich LDAP-Bind-Konten und SAML-Integrationen.
Deaktivieren Sie ungenutzte VPN-Portale, veraltete Authentifizierungsmethoden und lokale Konten.
Erfordern Sie phishing-resistente MFA für Administratoren und Fernzugriffe mit hohem Risiko.
Bauen Sie Geräte neu auf oder spielen Sie ein Image zurück, wenn ein Kompromittieren wahrscheinlich ist und die forensische Sicherheit gering ist.

Die strategische Lektion

Ransomware-Gruppen profitieren zunehmend von einem Marktplatz für Zugänge. Ein Akteur stiehlt Anmeldeinformationen. Ein anderer überprüft sie. Ein weiterer verkauft sie. Ein Ransomware-Partner verwendet sie. Das Opfer erlebt es als einen einzigen Verstoß, aber der kriminelle Arbeitsablauf kann mehrere Übergaben umfassen.

Deshalb kann die Perimetersicherheit nicht mehr als ein Kontrollmechanismus betrachtet werden, den man einmal einrichtet und dann vergisst. Rand- bzw. Endsysteme benötigen ein Schwachstellenmanagement, Identitätspflege, Protokollierung und Vorfallsreaktion, die ihrer Bedeutung entsprechen.

Schlussfolgerung

FortiBleed ist nicht nur eine Geschichte von Fortinet. Es ist eine Geschichte über Perimeter-Identität. Jede Organisation, die VPNs, Firewalls, sichere Web-Gateways, Remote-Access-Geräte oder identitätsverbundene Edge-Systeme betreibt, sollte davon ausgehen, dass diese Plattformen Hauptziele für die Ernte von Anmeldeinformationen und den Weiterverkauf von Zugriffen sind.

Wenn ein Edge-Zugangsdaten-Leck auftritt, ist die Frage nicht „haben wir gepatcht?“ Die Frage ist „auf was konnte diese Zugangsdaten zugreifen, was hat sich geändert, während sie gültig waren, und welchen Zugriff haben sie später ermöglicht?“