Im Zentrum der Kampagne steht eine Datenbank aus Benutzernamen und Passwörtern, die die Angreifer laut Bericht mit automatisierten Skripten geprüft haben. Ein Teil der Zugangsdaten stammt demnach vermutlich aus früheren Sicherheitsvorfällen und wurde danach nie ausgetauscht.
SOCRadar beziffert den Bestand auf mehr als 86.644 bestätigte, funktionierende Zugangsdaten aus 194 Ländern. Sicherheitsforscher Kevin Beaumont, der gemeinsam mit Hudson Rock mit einigen betroffenen Organisationen gearbeitet hat, bestätigte, dass die Logins gültig und relativ aktuell sind. Nach seiner Einschätzung umfasst der Datensatz auf Basis von Shodan-Erhebungen ungefähr die Hälfte aller Fortinet-Firewalls, die im Internet erreichbar sind.
Laut dem Sicherheitsforscher Bob Diachenko wird die Kampagne von einem russischsprachigen Bedrohungsakteur orchestriert. Mindestens vier Organisationen seien vollständig kompromittiert worden. Diachenko zufolge fangen die Angreifer die Authentifizierung von SSL-VPNs ab, knacken Hashes auf einem Cluster mit 45 Grafikprozessoren, der über Hashtopolis verwaltet wird, und bewegen sich anschließend in interne Active-Directory-Umgebungen weiter.
Das Ausmaß der Aktivität ist erheblich. Den Schätzungen zufolge führten die Angreifer rund 1,16 Milliarden Versuche mit Zugangsdaten gegen mehr als 320.000 FortiGate-Ziele aus. Hinzu kamen 2,1 Milliarden Brute-Force-Versuche gegen über 160.000 MSSQL-Server.
Hudson Rock spricht davon, dass die Kampagne Tausende Organisationen getroffen habe, darunter große staatliche Einrichtungen und Betreiber kritischer Infrastruktur. Auch Huntress bestätigt die breite Streuung: Das Unternehmen hat die aufgelisteten IP-Adressen mit eigenen Beständen abgeglichen und dabei nach eigener Aussage 845 Partnerorganisationen identifiziert, die konkret von diesem Zugangsdaten-Datensatz betroffen sind.
CISA veröffentlichte am Donnerstag eine Warnung zu FortiBleed und rief Fortinet-Kunden zu konkreten Härtungsmaßnahmen auf. Die Behörde empfiehlt, aktive Sitzungen zu beenden und Zugangsdaten zurückzusetzen. Zudem sollen Unternehmen sicherstellen, dass Administrator-Anmeldungen mit dem Algorithmus Password-Based Key Derivation Function 2 (PBKDF2) gespeichert werden.
Darüber hinaus rät CISA dazu, Protokolle auf verdächtige Aktivitäten zu prüfen, phishing-resistente Mehrfaktor-Authentifizierung zu aktivieren und den Zugriff auf Management-Schnittstellen einzuschränken, um die Angriffsfläche zu verkleinern.