Eine Firewall-Kampagne legte 70.000 Zugangsdaten offen. Die VPN-Sitzungen sind das größere Risiko.

Group-IB und NyxLab haben am 21. Oktober 2026 eine gemeinsame Untersuchung zu einer Kampagne veröffentlicht, die Zugangsdaten von internetzugewandten Firewalls und VPN-Portalen abgezogen hat, vor allem aus Fortinets FortiGate- und FortiWeb-Reihe und den GlobalProtect-Gateways von Palo Alto Networks. The Hacker News berichtete am 23. Oktober über die Ergebnisse. Die Forscher schreiben die Aktivität dem kriminellen Handle k0t zu, der auch als CryptoFeel, Member19 und QazWsxShop auftritt, und zählen mehr als 70.000 exponierte Zugangsdaten und zugehörige Daten, darunter LDAP-Dumps.

Zum Weiterlesen: Leakers$ kaperten öffentliche LED-Werbetafeln in Ägypten, Malaysia und Brasilien · Sonys japanische ISP-Sparte meldet Datenpanne mit 2,6 Millionen Datensätzen.

Die Zahl ist leicht falsch zu lesen. Siebzigtausend ist eine Zählung von Zugangsdatensätzen, nicht von kompromittierten Organisationen, und Group-IB nennt für die Kampagne überhaupt keine Opferzahl. Für Verteidiger zählt die Abfolge dahinter: eine Appliance, die sich über eine Suchmaschine finden lässt, eine Konfigurationsdatei, die sich mit einem allgemein bekannten Schlüssel entschlüsseln lässt, und eine VPN-Sitzung, die möglicherweise länger besteht als die Zugangsdaten, mit denen sie geöffnet wurde.

Was die 70.000 tatsächlich zählen

Der Datensatz, den der Bericht von Group-IB und NyxLab beschreibt, ist operatives Material: Zugangsdaten für Netzwerkgeräte sowie Verzeichnis-Dumps, wie sie eine Appliance vorhält, wenn sie Mitarbeiter gegen LDAP oder Active Directory authentifiziert. Group-IB zufolge gab es kaum Überschneidungen mit den FortiBleed-Zugangsdaten, über die Anfang 2026 berichtet wurde. Das ist wichtig, weil ein Verteidiger, der nach FortiBleed aufgeräumt hat, sonst annehmen könnte, diese Liste sei dieselbe.

Es ist keine Opferliste. Group-IB merkt an, dass Opferkennungen von öffentlichen Domains und E-Mail-Adressen bis zu internen IP-Adressen reichen und dass sich die genaue Zuordnung nicht für den gesamten Datensatz überprüfen lässt. Eindeutige Domains in dem Material ergeben eine Untergrenze für die Zahl der betroffenen Organisationen. Die regionale Verteilung dieser Domains liegt bei 37,6 Prozent Asien-Pazifik, 31,9 Prozent Lateinamerika, 15,8 Prozent Europa und 12,7 Prozent Naher Osten und Nordafrika. Die Forscher betonen ausdrücklich, dass dies widerspiegelt, wo exponierte Geräte beim Scannen gefunden wurden, und keinen Plan darstellt, diese Regionen anzugreifen.

Viele der FortiGate-Kompromittierungen tragen Daten zwischen Februar und Juni 2026, dasselbe Fenster wie FortiBleed. Group-IB bewertet mit mittlerer Konfidenz, dass die Aktivität zum weiteren FortiBleed-Umfeld gehört, und sagt zugleich, die Beweise belegten nicht, dass dieselben Betreiber beide Datensätze geführt haben. Auch die beiden Zahlen, die zu diesen Kampagnen kursieren, messen unterschiedliche Dinge. Cryptopolitan fasste die FortiBleed-Zahl unter Berufung auf SOCRadar als 86.644 kompromittierte Geräte zusammen. Die Zugangsdaten der einen Kampagne zu den Geräten einer anderen zu addieren, ergibt eine größere Zahl und kein brauchbares Bild.

Ein Scanner, kein Forschungsteam

Die Aufklärung erklärt die Streuung. k0t schien seine Opfer nicht nach Branche oder Gerücht auszuwählen. Dem Bericht zufolge kaufte oder lieh sich der Betreiber Zugang zu Angriffsflächen-Suchmaschinen, fragte in einem öffentlichen Forum nach einem Premium-Konto bei FOFA oder jemandem, der IP-Listen aus FOFA, ZoomEye und Censys exportieren könne, und sagte später, er habe Partner für FOFA und ZoomEye gefunden. Massenergebnisse im Format ip:port wurden angefragt, damit automatisierte Werkzeuge sie verarbeiten konnten.

Die Suchen konzentrierten sich auf GlobalProtect-Portale, gefiltert nach Merkmalen der Anmeldeseite, Antwort-Headern und Zertifikaten, zuerst in Nordamerika, dann in Europa und Asien-Pazifik. FortiGate- und FortiWeb-Systeme standen ebenfalls auf der Liste, und SonicWall-SMA1000-Konsolen, OPNsense und Cisco ISE tauchen in der Überwachung des Betreibers auf. Der Bericht sagt, es gebe keine Hinweise auf eine erfolgreiche Kompromittierung einer SMA1000.

„k0t scheint potenzielle Ziele auszuwählen, indem er exponierte Netzwerk-Appliances im großen Stil aufzählt, statt einzelne Organisationen zu recherchieren.“ — Forscher von Group-IB und NyxLab, 21. Oktober 2026

Diese Unterscheidung zählt, weil die Exposition und nicht die Branche entschied, wer im Datensatz auftauchte. Die Werkzeuge passen zu diesem Ansatz: ein FortiGate-Scanner, der eine Textdatei mit Adressen einliest, jede mit einem Land aus einer mitgelieferten GeoIP-Datenbank versieht und einen Pool von Worker-Threads über die Liste laufen lässt. Der Bericht erwähnt eine fest codierte Ausschlussliste für die GUS-Region und andere Jurisdiktionen, die sich mit einem Flag abschalten lässt, und dass einige Opfer aus den ausgeschlossenen Ländern kamen, was auf die Nutzung des Flags hindeutet. Cybersecurity News ging außerdem die beiden maßgeschneiderten Skripte hinter der Operation durch.

Der Standardschlüssel, der eine Firewall zum Reden bringt

Wer Zugriff auf ein FortiGate-Gerät hat, kann die Konfiguration der Appliance herunterladen und lokal entschlüsseln. Der Schlüssel ist der Standard-AES-Schlüssel von FortiOS, eine Schwäche, die als CVE-2019-6693 geführt wird. Fortinets Behebung bestand darin, eine Option für die Verschlüsselung privater Daten hinzuzufügen. Hat sie niemand aktiviert, nutzt das Gerät weiter den bekannten Schlüssel, und eine Konfigurationssicherung wird zu einer lesbaren Datei.

Eine Firewall-Konfiguration enthält mehr als Regeln. Sie enthält die Zugangsdaten, mit denen die Appliance sich an LDAP oder Active Directory bindet, dazu Administratoren- und lokale Benutzerkonten, weil das Gerät diese Geheimnisse für seine Arbeit braucht. Ein Angreifer, der die Datei entschlüsseln kann, erbt die Beziehungen, die diese Geheimnisse autorisieren. In diesem Moment ist kein Exploit nötig, nur ein Download und eine Entschlüsselungsroutine.

Das ist der am wenigsten dramatische Schritt der Kette und wahrscheinlich der folgenreichste. Eine ungepatchte Appliance ist eine vorübergehende Exposition, die ein Wartungsfenster schließen kann. Ein aus einer Konfigurationsdatei kopiertes Verzeichnis-Zugangsdatum bleibt gültig, bis jemand es ändert, und die Appliance zeigt kein Zeichen dafür, dass es gelesen wurde. Genau deshalb behandelt die Verteidigungsempfehlung von Group-IB eine kompromittierte Edge-Appliance als mögliche Kompromittierung von Unternehmens-Zugangsdaten.

Zwei Wege am Login vorbei

Die Methoden für den Erstzugriff unterscheiden sich je nach Produkt.

Bei FortiWeb nutzt das Werkzeug CVE-2025-64446 aus, einen relativen Path Traversal, der es einem nicht authentifizierten Angreifer ermöglichen kann, über manipulierte HTTP- oder HTTPS-Anfragen administrative Befehle auszuführen. Die Anfrage gibt sich mit einem gefälschten Header als das eingebaute Konto prof_admin aus und legt dann einen neuen lokalen Administrator mit einem zufälligen achtstelligen Benutzernamen und derselben Zeichenfolge als Passwort an. Das neue Konto erhält das Profil prof_admin und einen Trusted-Host-Bereich von 0.0.0.0/0, kann sich also von überall anmelden.

Bei FortiGate, wo dieser Pfad nicht greift, ist der Rückfallweg ein Brute-Force-Angriff gegen die REST-API mit Benutzernamen wie admin, fortinet und sysadmin und Passwörtern wie admin und fortigate. Meldet das Gerät einen Lockout-Code, legt das Werkzeug den Host 60 Sekunden still und versucht es erneut, was zufällig zum Standard-Lockout-Timer des FortiGate-Administrators passt. Der Bericht liest dieses Detail als Zeichen dafür, dass der Autor des Werkzeugs das Produkt kannte.

Der Palo-Alto-Weg nutzt CVE-2026-0257, eine Umgehung der Authentifizierung in PAN-OS- und Prisma-Access-GlobalProtect-Portalen und -Gateways, aber nur dort, wo Authentication-Override-Cookies und die entsprechende Zertifikatskonfiguration aktiviert sind. Der Exploit fälscht ein Cookie, indem er eine Sitzungszeichenfolge mit einem öffentlichen Schlüssel aus dem TLS-Zertifikat des Ziels verschlüsselt, und reicht es mit leerem Passwort am GlobalProtect-Login-Endpunkt ein. Ein verwundbares Gerät entschlüsselt es, prüft das Sitzungsformat und prüft nicht, ob das Cookie jemals legitim war. Von dort öffnet das Werkzeug eine OpenConnect-VPN-Verbindung. The Hacker News hatte bereits berichtet, dass Betreiber von Qilin und INC versuchten, dieselbe Schwachstelle auszunutzen.

Der letzte Schritt ist der Grund, warum „die Firewall patchen“ eine unvollständige Anweisung ist. Die Sitzung ist bereits authentifiziert. Sie braucht das Passwort nicht noch einmal.

Was aus dem Zugang wird

Das Playbook nach der Kompromittierung ist vertraut, und das ist Teil seines Erfolgs. OpenConnect liefert das Standbein. Die Erkundung umfasst Active Directory, SMB-Freigaben und installierte Antivirus-Software. Die Persistenz kommt von Fernverwaltungssoftware: MeshCentral-Agenten, Atera, Teramind, AnyDesk, ngrok, dazu AdaptixC2 als zweiter Befehlskanal. Die Rechteausweitung nutzt NetExec, Impacket, noPac, Kerbrute, PetitPotam und Mimikatz, und die Exfiltration läuft über Rclone in Wasabi-S3-Buckets und MEGA-Laufwerke.

Die MeshCentral-Zahlen geben einen Eindruck vom Ausmaß. Zum Zeitpunkt der Analyse fand Group-IB 28 aktive Gerätegruppen mit 84 kompromittierten Geräten sowie Artefakte für 100 weitere Gruppen, die inzwischen entfernt worden waren. Der Server enthielt keine Dateien, was die Forscher als Zeichen für interaktiven Live-Zugriff lesen, bei dem Daten getrennt bereitgestellt und bewegt wurden.

Group-IB bewertet außerdem, dass die Betreiber Verbindungen zu den Ransomware-Gruppen Qilin und The Gentlemen teilen und wahrscheinlich als Initial Access Broker oder Affiliate handeln. Grundlage sind Überschneidungen bei den Opfern: Viele Organisationen aus dieser Kampagne tauchten später auf den Leak-Seiten dieser Gruppen auf. Der Bericht nennt die Beziehung unbestätigt, und der Vorbehalt verdient Wiederholung. Überschneidungen bei Opfern sind ein Beleg dafür, dass Zugang weitergegeben wurde, nicht ein Beweis dafür, wer ihn an wen verkauft hat.

Patchen schließt die Tür, nicht die Sitzung

Beide CVEs haben Hersteller-Fixes, und die Kampagne nutzt bekannte Schwachstellen und schwache Konfigurationen aus. Weder Fortinet noch Palo Alto Networks werden in dem Bericht mit einer neuen Stellungnahme zitiert, es gibt also keine frische Herstellerauskunft darüber, wie viele Geräte weiterhin exponiert sind.

TechPastWeek hat in diesem Monat über zwei vergleichbare Edge-Appliance-Episoden berichtet: die Citrix-NetScaler-Zero-Days und die Dateischreib-Schwachstelle in FortiMail. Beide endeten mit derselben Anweisung zu patchen, und beide ließen dieselbe Frage offen, was der Angreifer bereits mitgenommen hatte. Auf der FortiBleed-Seite hieß es in Warnungen der US-Regierung Anfang Oktober, die Aktivität laufe weiter, ein schlechter Moment, um einen einzelnen Patch als Abschluss zu behandeln.

Die Sanierungsliste, die sich aus dem Bericht ergibt, ist länger als eine Patch-Warteschlange:

• Finden Sie jede internetzugewandte FortiGate, FortiWeb und jedes GlobalProtect-Portal. Der Rat des Berichts selbst orientiert sich an der Exposition, nicht an der Branche.
• Prüfen Sie Patchstand und Konfiguration. Bei GlobalProtect entscheiden die Authentication-Override- und Zertifikatseinstellungen darüber, ob CVE-2026-0257 greift. Bei FortiOS entscheidet die Verschlüsselung privater Daten darüber, ob eine gestohlene Konfiguration lesbar ist.
• Gehen Sie davon aus, dass gespeicherte Geheimnisse kompromittiert sind, wenn auf ein Gerät zugegriffen wurde. Rotieren Sie Verzeichnis-Bind-Zugangsdaten und lokale Administratoren und widerrufen Sie VPN-Sitzungen, statt auf ihr Ablaufen zu warten.
• Jagen Sie Konten, die niemand angelegt hat: neue lokale Administratoren, geänderte Trusted-Host-Bereiche, Konfigurationsexporte, Muster aus Lockout und erneutem Versuch sowie Anmeldungen von ungewöhnlichen Adressen.
• Suchen Sie nach Installationen von MeshAgent, Atera, Teramind, AnyDesk, ngrok und AdaptixC2 sowie nach Rclone, das in Cloud-Speicher schreibt.

Die Reihenfolge zählt. Zuerst patchen, ohne Zugangsdaten zu rotieren, lässt dem Eindringling seinen einfachsten Weg offen, und eine über ein gefälschtes Cookie geöffnete Sitzung interessiert nicht, dass der Fehler behoben ist.

Was unbekannt bleibt, ist viel. Group-IB hat einen zusätzlichen technischen Bericht angekündigt. Es gibt keine Opferzahl, keine genannten Opfer und keine staatliche Zuordnung im öffentlichen Material, und die Zahl 70.000 wird weiter zitiert werden, als liefere sie alle drei. Die nützlichere Frage für einen Verteidiger ist kleiner und beantwortbar: Welche meiner Appliances sind über eine Suchmaschine zu finden, und was würde ein Angreifer aus ihrer Konfigurationsdatei erfahren?

Titelbild: „Fortinet FortiGate 6501F.png“ von Premeditated, CC BY-SA 4.0, über Wikimedia Commons. Das Bild zeigt ein FortiGate-6501F-Gehäuse, eine der Produktreihen, die in der Kampagne ins Visier genommen wurden.