FBI und Secret Service warnen: FortiBleed-Kampagne greift weiterhin Fortinet-Firewalls an

Das US-amerikanische Federal Bureau of Investigation (FBI) und der Secret Service (USSS) haben in einer gemeinsamen Warnung mitgeteilt, dass die FortiBleed-Kampagne zum Diebstahl von Zugangsdaten weiterhin eine aktive Bedrohung für öffentlich erreichbare Fortinet-FortiGate-Firewalls und SSL-VPN-Gateways darstellt. Den Behörden zufolge nutzen Angreifer nach wie vor geleakte Zugangsdaten und die veraltete SHA-256-Passwortspeicherung, um exponierte Sicherheits-Appliances im großen Stil zu scannen und zu kompromittieren.

Fünfstufiges Modell zum Diebstahl von Zugangsdaten

Die im Juni 2026 erstmals von SOCRadar und Hudson Rock dokumentierte, russischsprachige Operation hatte bis Mitte Juni 2026 mehr als 86.644 gültige Geräte-Zugangsdaten in 194 Ländern gesammelt. Die Kampagne nutzt einen fünfstufigen Einbruchsprozess, der mit flächendeckenden Scans nach exponierten Portalen beginnt. Angreifer führen Credential Stuffing und Password Spraying durch und greifen dabei auf Daten aus früheren Leaks sowie Logs von Infostealern zurück.

Sobald der Erstzugriff gelungen ist, setzen die Akteure ein maßgeschneidertes, in Go geschriebenes Werkzeug namens FortigateSniffer ein. Dieses fängt den Authentifizierungsverkehr über 24 verschiedene Netzwerkprotokolle passiv ab und sammelt weitere Benutzernamen sowie Passwort-Hashes.

Offline-Cracking und tiefe Netzeinbrüche

Abgefangene Hashes werden an GPU-beschleunigte Cracking-Cluster weitergeleitet, auf denen Hashmat und Hashtopolis laufen. Automatisierte Skripte filtern anschließend Honeypots heraus und stufen Zielorganisationen nach Umsatz sowie Infrastrukturstruktur ein. Nach der Verifizierung ermöglichen diese Zugangsdaten den Angreifern Active-Directory-Enumeration, Kerberos-Validierung, SMB-Authentifizierung und den Diebstahl sensibler Dateien aus Netzwerkfreigaben.

Manipulation von Konten und Verbindungen zu Ransomware

Um dauerhaften Zugriff zu sichern, erstellen die Angreifer unautorisierte Administratorenkonten auf den kompromittierten Firewalls mit Namen wie adminin, fortiAdmin, fgtsecure und forticloud-sync. US-Behörden wiesen darauf hin, dass Angreifer häufig legitime Administratorenkonten ändern oder löschen, wodurch Organisationen aus ihrer eigenen Hardware ausgesperrt werden. Erkenntnisse der IT-Sicherheit deuten darauf hin, dass die Operation als Initial Access Broker fungiert, wobei Überschneidungen die gestohlenen Zugänge mit Ransomware-Gruppen wie INC und Lynx in Verbindung bringen.

Schutzmaßnahmen und Sicherheitsempfehlungen

Die Cybersecurity and Infrastructure Security Agency (CISA) und ihre Partnerbehörden raten Administratoren von FortiGate-Geräten, PBKDF2-Hashing für die Speicherung von Zugangsdaten zu nutzen und eine phishing-resistente Authentifizierung vorzuschreiben. Organisationen sollten aktive SSL-VPN- und Verwaltungssitzungen beenden, administrative Passwörter zurücksetzen und Konten auf unautorisierte Hinzufügungen überprüfen. Wird ein Einbruch festgestellt, müssen betroffene Geräte isoliert werden, während forensische Logs für die Ermittlungen der Strafverfolgungsbehörden gesammelt werden.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: FBI Warns FortiBleed Remains Active After Amassing 86,644 Fortinet Device Credentials