Belegte ATT&CK-Technik zum Erstzugriff+6
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
FBI, Secret Service urge critical infrastructure operators to secure Fortinet gateways against FortiBleed attacks
Das FBI und der US-Secret Service warnen vor der "FortiBleed"-Kampagne, die Fortinet FortiGate Firewalls und SSL VPN-Gateways angreift. Über 86.000 Geräte in 194 Ländern sind betroffen, insbesondere kritische Infrastrukturen. Angreifer nutzen gestohlene Zugangsdaten, um sich Zugang zu verschaffen, neue Admin-Konten zu erstellen und den Zugriff weiterzuverkaufen. Organisationen sollten externen Managementzugriff einschränken, Passwörter zurücksetzen und Multi-Faktor-Authentifizierung implementieren, um sich zu schützen.
SecBoard-Einordnung
Angreifer können durch gestohlene Zugangsdaten Zugang zu Netzwerken erhalten, neue Administratorkonten erstellen und den Zugriff weiterverkaufen, was zu Ransomware-Angriffen oder anderen schwerwiegenden Kompromittierungen führen kann.
Realistisch schlimmster Fall: Der schlimmste Fall ist der vollständige Verlust der Kontrolle über die betroffenen Geräte, die Erstellung persistenter Backdoors durch neue Admin-Konten und der Weiterverkauf des Zugangs, was zu weitreichenden Ransomware-Angriffen oder Datenexfiltration führen kann.
Empfehlung: Organisationen sollten den externen Managementzugriff einschränken, alle aktiven Sitzungen beenden, Passwörter zurücksetzen und eine Phishing-resistente Multi-Faktor-Authentifizierung implementieren.
Betroffen
Organisationen, die Fortinet FortiGate Firewalls und SSL VPN-Gateways betreiben, insbesondere Betreiber kritischer Infrastrukturen, sind betroffen.
Prüfen
3- ▸Überprüfen Sie die Protokolle Ihrer Fortinet FortiGate Firewalls und SSL VPN-Gateways auf ungewöhnliche Anmeldeversuche oder die Erstellung neuer Administratorkonten.
- ▸Stellen Sie sicher, dass der externe Managementzugriff auf Fortinet-Geräte auf ein Minimum beschränkt und nur über sichere Kanäle erfolgt.
▸ 1 weitere▾ weniger
- ▸Testen Sie die Implementierung und Wirksamkeit der Multi-Faktor-Authentifizierung für alle administrativen Zugänge zu Fortinet-Geräten.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen Schwachstellen (CVEs) von der Kampagne ausgenutzt werden, außer der allgemeinen Nutzung von gestohlenen oder wiederverwendeten Zugangsdaten.
- ▸Die genaue Methode, wie die Zugangsdaten ursprünglich gestohlen oder geleakt wurden, ist nicht detailliert beschrieben.
- ▸Die spezifischen Branchen innerhalb der kritischen Infrastruktur, die am stärksten betroffen sind, werden nicht genannt.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Möglich
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Fortinet extern erreichbar?
- Haben wir Active Directory / Entra extern erreichbar?
- Können wir Initial Access detektieren?
- Können wir Credential Access detektieren?
MITRE ATT&CK(7)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Angreifer nutzen gestohlene Zugangsdaten, um sich Zugang zu verschaffen“
„neue Admin-Konten zu erstellen“
„harvest authentication data“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
3
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap