FortiBleed: INC & Lynx Ransomware stehlen FortiGate-Zugan…

Die FortiBleed-Kampagne zielt auf FortiGate-Geräte ab und liefert gestohlene Zugangsdaten direkt an die Ransomware-Gruppen INC und Lynx. Erfahren Sie, w…

Was ist FortiBleed?

FortiBleed ist eine neu entdeckte, finanziell motivierte Kampagne, bei der Angreifer systematisch Zugangsdaten von Fortinet FortiGate Firewalls stehlen. Die gestohlenen Anmeldedaten werden dann direkt an die Ransomware-Gruppen INC und Lynx weitergegeben, um Folgeangriffe zu ermöglichen. Die Ermittler fanden heraus, dass ein Operator, der mit FortiBleed verbunden ist, aktiv an den Verhandlungsplattformen beider Gruppen arbeitete. Das macht die Verbindung glasklar: Massenhafter Diebstahl von FortiGate-Zugangsdaten führt direkt zur Ransomware-Erpressung.

Und das ist kein kleiner Fisch. Die Kampagne hat bereits zahlreiche Unternehmen getroffen, und die Zahl der Opfer steigt. Sie fragen sich, ob Ihr Netzwerk betroffen ist? Dann sollten Sie genau hinschauen.

Wie funktioniert der Angriff?

Die Angreifer nutzen bekannte Sicherheitslücken in FortiGate-Geräten aus, um sich ersten Zugang zu verschaffen. Einmal drin, extrahieren sie die Konfigurationsdateien mit den Zugangsdaten für VPN und Verwaltungsschnittstellen. Diese Daten werden dann an die Ransomware-Gruppen verkauft oder direkt geteilt. INC und Lynx nutzen die gestohlenen Anmeldedaten, um sich in die Netzwerke ihrer Opfer zu schleusen, ihre Malware zu platzieren und die Daten zu verschlüsseln.

Ein besonders dreistes Detail: Der Operator, der die Zugangsdaten lieferte, saß direkt in den Verhandlungsräumen der Erpresser. Er wusste genau, welche Unternehmen gerade unter Druck standen, und konnte die Daten entsprechend anpassen. Das ist eine neue Stufe der Professionalität – und eine Warnung für alle.

Warum ist das eine ernste Bedrohung?

Weil die Angreifer nicht mehr zufällig zuschlagen. Sie haben eine industrielle Pipeline aufgebaut: vom Ausspähen über den Verkauf bis zur Erpressung. INC und Lynx gehören zu den aktivsten Ransomware-Gruppen, und sie haben mit FortiBleed einen verlässlichen Lieferanten für frische Zugangsdaten. Das bedeutet für Sie: Firewalls sind nicht mehr alleinige Bollwerke. Selbst wenn Ihre FortiGate auf dem neuesten Stand ist, können gestohlene Zugangsdaten von anderen Geräten gegen Sie verwendet werden.

Die Sicherheitsforschung zeigt, dass viele Unternehmen ihre Firewall-Zugänge nicht ausreichend schützen. Ein starkes Passwort allein reicht nicht – Sie brauchen Multi-Faktor-Authentifizierung und regelmäßige Überprüfungen der Zugriffsrechte. Sonst landen Ihre Daten womöglich auf einem der Verhandlungsportale von INC oder Lynx.

Was können Sie tun?

Die erste Maßnahme: Aktualisieren Sie Ihre FortiGate-Firmware sofort. Viele der ausgenutzten Lücken wurden bereits von Fortinet gepatcht, aber nicht alle Unternehmen haben die Updates installiert. Zweitens: Überwachen Sie Ihre Zugriffslogdateien auf verdächtige Anmeldeversuche. Drittens: Setzen Sie Multi-Faktor-Authentifizierung für alle VPN- und Verwaltungszugänge ein. Klingt banal, aber es ist der effektivste Schutz gegen gestohlene Passwörter.

Viertens: Schulen Sie Ihre Mitarbeiter. Phishing und Social Engineering sind oft die Einstiegstore für solche Kampagnen. Wenn ein Mitarbeiter auf eine gefälschte FortiGate-Anmeldeseite hereinfällt, nützt die beste Firewall nichts. Und fünftens: Arbeiten Sie mit einem Sicherheitsdienst zusammen, der auf Ransomware-Erkennung spezialisiert ist. Denn FortiBleed zeigt: Die Angreifer sind organisiert, Sie sollten es auch sein.

Weitere Informationen

Wenn Sie mehr über die Hintergründe der INC- und Lynx-Ransomware erfahren möchten, lesen Sie unsere Artikel zu Ransomware-Bedrohungen und Sicherheitstipps für Unternehmen. Bleiben Sie wachsam – die Bedrohung ist real und sie wächst täglich.