Belegte ATT&CK-Technik zum Erstzugriff+6
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
FBI Warns FortiBleed Remains Active After Amassing 86,644 Fortinet Device Credentials
Das FBI warnt vor der aktiven FortiBleed-Kampagne, die Fortinet FortiGate Firewalls und SSL VPN-Gateways angreift. Angreifer nutzen gestohlene Zugangsdaten und ältere SHA-256-Passwortspeicherung, um über 86.000 Geräte-Anmeldeinformationen zu sammeln und zu knacken. Betroffene sollten phishing-resistente Authentifizierung aktivieren, Passwörter zurücksetzen, PBKDF2 für Admin-Zugangsdaten nutzen und Protokolle auf verdächtige Aktivitäten überprüfen.
SecBoard-Einordnung
Die Kampagne nutzt gestohlene Zugangsdaten und schwache Passwortspeicherung, um Zugang zu Netzwerkgeräten zu erhalten, was zu unbefugtem Zugriff und potenziellen weiteren Kompromittierungen führen kann.
Realistisch schlimmster Fall: Unbefugter Zugriff auf kritische Netzwerkinfrastruktur, Datenexfiltration, Ransomware-Angriffe oder andere schwerwiegende Sicherheitsvorfälle durch die Nutzung der gestohlenen Zugangsdaten.
Empfehlung: Aktivieren Sie phishing-resistente Authentifizierung, setzen Sie alle Passwörter zurück, stellen Sie sicher, dass PBKDF2 für die Speicherung von Administrator-Zugangsdaten verwendet wird, und überprüfen Sie Protokolle auf verdächtige Aktivitäten.
Betroffen
Organisationen, die Fortinet FortiGate Firewalls und SSL VPN-Gateways verwenden, sind betroffen.
Prüfen
3- ▸Überprüfen Sie, ob phishing-resistente Authentifizierung für Fortinet-Geräte aktiviert ist.
- ▸Auditieren Sie die Passwort-Hashes für Administrator-Zugangsdaten auf Fortinet-Geräten, um sicherzustellen, dass PBKDF2 verwendet wird.
▸ 1 weitere▾ weniger
- ▸Überprüfen Sie die Protokolle Ihrer Fortinet FortiGate Firewalls und SSL VPN-Gateways auf ungewöhnliche Anmeldeversuche oder andere verdächtige Aktivitäten.
Offene Punkte
2▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen CVEs oder Schwachstellen ausgenutzt werden, um die Zugangsdaten ursprünglich zu stehlen, abgesehen von der Ausnutzung von wiederverwendeten Zugangsdaten und SHA-256-Passwortspeicherung.
- ▸Die genaue Methode, wie die 86.644 Geräte-Anmeldeinformationen gesammelt wurden, ist nicht detailliert beschrieben.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Möglich
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Fortinet extern erreichbar?
- Haben wir Active Directory / Entra extern erreichbar?
- Können wir Initial Access detektieren?
- Können wir Credential Access detektieren?
MITRE ATT&CK(6)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Angreifer nutzen gestohlene Zugangsdaten, um sich als legitime Benutzer auszugeben.“
„Angreifer nutzen gestohlene Zugangsdaten, um über SSL VPN-Gateways auf Fortinet-Geräte zuzugreifen.“
„Angreifer nutzen gestohlene Zugangsdaten und ältere SHA-256-Passwortspeicherung, um Anmeldeinformationen zu knacken.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
2
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap