Über offen erreichbare Firewalls von Fortinet und Palo Alto haben Angreifer mehr als 70.000 Zugangsdaten erbeutet, darunter Passwörter für das Active Directory ganzer Firmennetze. Viele dieser Passwörter lagen auf den Geräten nur mit einem öffentlich bekannten Standardschlüssel verschlüsselt.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen„Die Übernahme eines aus dem Internet erreichbaren Sicherheitsgeräts sollte als mögliche Kompromittierung der Unternehmenszugangsdaten gelten, nicht nur als Anlass für ein Update“, schreiben die Forscher von Group-IB und NyxLab im Bericht vom 21. Oktober.[1] Hinter der Kampagne sehen die beiden Firmen einen Akteur mit dem Alias k0t. Die meisten FortiGate-Einbrüche stammen aus den Monaten Februar bis Juni 2026.
Das Wichtigste in Kürze
- Group-IB und NyxLab fanden mehr als 70.000 Zugangsdaten, kaum Überschneidungen mit der früheren Kampagne FortiBleed.
- Den Einstieg boten zwei bekannte Sicherheitslücken und erratene Passwörter.
- FortiOS verschlüsselt gespeicherte Passwörter ab Werk mit einem bekannten Schlüssel.
- Viele Opfer landeten später auf den Leak-Seiten von Qilin und The Gentlemen.
Wie kamen die Angreifer in die Firmennetze?
Ihre Ziele fanden die Täter über Suchmaschinen für offen erreichbare Geräte wie FOFA und ZoomEye, unabhängig von der Branche. Vorrang hatten laut Group-IB die USA und Kanada, danach Europa.[1] Bei FortiWeb legte ein Skript über die Sicherheitslücke CVE-2025-64446 ein neues Administratorkonto an, die US-Behörde CISA führt diese Lücke seit November 2025 als ausgenutzt.[2] Bei FortiGate probierte das Skript gängige Passwörter und wartete nach jeder Sperre 60 Sekunden, so lange sperrt FortiGate ab Werk.
Bei Palo Alto nutzten die Täter die Sicherheitslücke CVE-2026-0257 in GlobalProtect. Mit einem gefälschten Anmelde-Cookie baut ein Angreifer ohne Passwort eine VPN-Verbindung auf, sofern die Anmeldung per Cookie aktiv ist und die Cookies mit demselben Zertifikat wie das Portal gesichert werden.[3] Über diese Lücke war im Mai und Juni schon die Ransomware-Gruppe Qilin in Firmennetze eingedrungen.
Warum verraten die Firewalls die Passwörter fürs Active Directory?
Nach dem Einbruch lud das Skript die Konfiguration der FortiGate herunter und entschlüsselte die Datei offline. Darin stehen die Passwörter der Konten, mit denen die Firewall das Active Directory abfragt. FortiOS verschlüsselt diese Daten mit einem fest eingebauten Schlüssel, der seit 2019 als Schwachstelle CVE-2019-6693 bekannt ist.[4] Einen eigenen Schlüssel verwendet das Gerät erst, sobald ein Administrator die Option „private-data-encryption“ einschaltet.[1] Die CISA führt CVE-2019-6693 seit Juni 2025 als ausgenutzt, auch bei Ransomware-Angriffen.[2]
Die Firewall bemerkt den Diebstahl nicht, weil die Täter an einer Kopie arbeiten. Die erbeuteten Dienstkonten lesen meist das gesamte Verzeichnis, haben laut Group-IB selten eine Mehr-Faktor-Authentisierung und sind oft vom regelmäßigen Passwortwechsel ausgenommen.[1] Mit den Daten der Kampagne FortiBleed überschneidet sich der Fund kaum, die Forscher vermuten trotzdem ein gemeinsames Umfeld.
Seit sieben Jahren ist der Werksschlüssel von FortiOS öffentlich bekannt. Firewalls ohne eigenen Schlüssel legen die Passwörter fürs Firmennetz für Angreifer lesbar ab.
Michael Dobler, Herausgeber Dr. Web
Was sollten Firmen mit Fortinet- oder Palo-Alto-Firewalls jetzt tun?
Für Einrichtungen, die unter NIS2 fallen, verlangt das BSI-Gesetz Konzepte für kryptografische Verfahren und den Einsatz einer Mehr-Faktor-Authentisierung.[5] Ein öffentlich bekannter Schlüssel passt schlecht zur ersten dieser Pflichten. Zu den Grundlagen der Cybersicherheit gehören Firewalls und VPN-Zugänge auf aktuellem Stand. Fortinet hat diese Woche außerplanmäßige Updates veröffentlicht. Für Administratoren gilt:
- Die Verwaltung von FortiGate, FortiWeb und GlobalProtect nur aus internen Netzen erreichbar machen.
- FortiWeb und PAN-OS aktualisieren. Bis dahin bei GlobalProtect ein eigenes Zertifikat für die Anmelde-Cookies setzen oder die Cookie-Anmeldung abschalten.
- Auf FortiGate die Option „private-data-encryption“ mit eigenem Schlüssel einschalten und die Sperrzeit nach Fehlversuchen verlängern.
- Alle Passwörter aus einer möglicherweise abgeflossenen Konfiguration ändern, zuerst die Konten für das Active Directory.
- Nach unbekannten Administratorkonten und Fernwartungsprogrammen wie MeshCentral oder AnyDesk suchen.
Quellen
5 Quellen anzeigenQuellen ausblenden
- Group-IB und NyxLabStray Cat, Open Doors: How k0t Wanders Through the Network Edge
- CISAKnown Exploited Vulnerabilities Catalog, Katalogversion 2026.10.23
- Palo Alto NetworksCVE-2026-0257 PAN-OS: GlobalProtect Authentication Bypass Vulnerabilities
- NIST National Vulnerability DatabaseCVE-2019-6693
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik§ 30 BSIG, Risikomanagementmaßnahmen, Abs. 2 Nr. 8 und 10
Mehr Newshunger?
- Fortinet schließt von KI gefundene Lücken, Details folgen erst am 10. November
- Arista: Angreifer nutzen die dritte kritische VeloCloud-Sicherheitslücke seit Juli
- Palo-Alto-Firewalls: Angreifer nutzen eine Root-Lücke im Verwaltungszugang aus
- FortiBleed: FBI warnt vor 86.644 gekaperten Fortinet-Firewalls
- Qilin-Ransomware nutzt Palo-Alto-VPN-Lücke: Wenn ein Cookie die Firewall öffnet
- Gunra-Ransomware: Zwei alte Fortinet-Lücken öffnen die Firewall
- BeyondTrust: Spionagegruppe nutzte die Fernwartungslücke seit Ende August
