Am 7. Oktober 2026 haben das FBI und der U.S. Secret Service eine gemeinsame Warnung veröffentlicht: Die als FortiBleed bezeichnete Kampagne läuft weiter und sperrt bei betroffenen Betrieben die eigenen Administratoren von ihren FortiGate-Firewalls aus. Über 86.644 Geräte in 194 Ländern sind kompromittiert, und laut FBI dient die Attackenkette inzwischen als Einstiegsportal für Ransomware-Banden.

Die Angreifer brauchen keine Zero-Day-Lücke; sie nutzen gestohlene Zugangsdaten aus Leaks, Infostealer-Logs, Credential Stuffing und Password Spraying. The Hacker News ordnet die Operation als russischsprachig ein. Im schlechtesten Fall legt der Angreifer eigene Admin-Konten an, löscht die vorhandenen und sperrt das Unternehmen von seiner eigenen Firewall aus. Man kann weder das VPN verwalten noch auf das Netzwerk zugreifen. The Record berichtet, dass mindestens zwölf Organisationen bereits mit Ransomware verschlüsselt wurden. CISA hatte die Warnung bereits drei Monate früher zusammen mit britischen Behörden veröffentlicht.

Wie die Kampagne technisch abläuft

The Hacker News beschreibt FortiBleed als Fünf-Stufen-Kampagne. Stufe eins: automatisiertes Scannen des Internets nach erreichbaren FortiGate-SSL-VPN-Portalen. Stufe zwei: Credential Stuffing und Password Spraying mit zuvor gestohlenen Zugangsdaten. Stufe drei: Ein auf Go basierendes Tool namens FortigateSniffer fängt passiv Authentifizierungsverkehr über 24 Protokolle ab und erntet dabei Credentials und Passwort-Hashes. Stufe vier: Die Hashes landen auf einem GPU-Clustering-Setup für Offline-Cracking – wobei BleepingComputer von Hashcat und Hashtopolis spricht, während The Hacker News den Namen Hashmat nennt. Stufe fünf: Lateral Movement, Active-Directory-Enumeration, Kerberos-Validierung, SMB-Authentifizierung und schließlich Exfiltration sensibler Daten von Netzwerk-Shares.

Die gestohlenen Credentials werden sortiert, validiert und nach Umsatz und Netzwerkstruktur der Zielorganisation priorisiert. Honeypots werden herausgefiltert. SOCRadar identifizierte im Juli über 20 Affiliates mit definierten Rollen, die Tausende Portale über 150 Länder abfuhren. Die Angreifer nutzten zudem KI-Tools, um Sicherheitskontrollen der Modelle zu umgehen, wie The Record berichtet.

Das FBI empfiehlt ausdrücklich den Umstieg auf PBKDF2.

Die Operation wurde bekannt, weil die Angreifer ihren eigenen Backend-Server versehentlich im Netz belassen hatten. Die darin gefundenen automatisierten Skripte, VPN-Konfigurationen und Ziellisten zeigen, dass der Betreiber kompromittierten Zugang paketiert und an Ransomware-Affiliates – konkret INC/Lynx und Payload – weiterverkauft hat. Das FBI stuft die Attackenkette ausdrücklich als Initial Access für Ransomware-Operationen ein.

Was jetzt zu tun ist

1. Prüfen, ob das FortiGate-SSL-VPN-Portal von außen erreichbar ist. Falls ja: externen Verwaltungs-Zugriff einschränken oder die Internet-Verwaltung komplett abschalten, wie FBI und Secret Service empfehlen.
2. Alle Fortinet-Admin-Passwörter zurücksetzen, sämtliche aktiven SSL-VPN- und Admin-Sessions beenden und MFA bzw. phishing-resistente Authentifizierung erzwingen.

Das Ärgernis daran: Man merkt den Verlust der Kontrolle erst, wenn man sie braucht – also im Notfall, wenn man das VPN neu konfigurieren oder einen Vorfall eingrenzen will. Wer jetzt unsicher ist, ob die eigene FortiGate sauber konfiguriert ist und die Zugangsdaten nicht in einem der Leaks stecken, hat damit schon die richtige Frage gestellt. Wir schauen uns das gern einmal an – von der Erreichbarkeit des VPN-Portals bis zur Passwort-Policy – und melden uns, wenn alles sauber ist oder was zu tun wäre. Hier geht es zum Kontakt.

Beitragsbild: panumas nikhomkhai auf Pexels