VPN-Zugangsdaten und komplette Konfigurationsdateien tausender FortiNet-Appliances sind im Darknet aufgetaucht, wo eine bislang unbekannte Angreifergruppe sie verschenkt. Die Daten hängen offenbar nicht mit kürzlich veröffentlichten Sicherheitslücken im Appliance-Betriebssystem FortiOS zusammen. heise security hat eine erste Analyse versucht.
Anzeige
In Darknet-Foren gibt es bisweilen kleine Geschenke: So ist es üblich, dass Untergrundhändler Kostproben ihrer Ware kostenlos herausgeben, um deren Qualität zu beweisen – ein Vorgehen, das womöglich von der legalen Datenhandelsbranche abgeschaut ist. Doch komplette Leaks tausender Konfigurations- und Passwortdateien – das ist nicht alltäglich. Eine neue Gruppe namens "Belsen Group" verschenkte nun über 15.000 Datensätze, die offenbar über eine Sicherheitslücke von Fortinet-Firewalls abgezogen wurden.
heise security hat sich den Datensatz besorgt und zunächst oberflächlich analysiert. Es handelt sich um eine ZIP-Datei mit insgesamt 145 Unterverzeichnissen, eines für jedes Land mit betroffenen Geräten. Die meisten, nämlich 1603 FortiNet-Konfigurationen, haben die Angreifer in Mexiko erbeutet, 679 in den USA und 208 in Deutschland. Überwiegend befinden sich diese IP-Adressen im Netz der Deutschen Telekom und von Vodafone, aber auch andere bekannte Internetprovider und Hoster sind darunter.
Gratisleck: Ein neuer Akteur im illegalen Datenmarkt verschenkt massenhaft sensible Daten von FortiNet-Firewalls.
