48-Stunden-Angriff zeigt Risiken ungepatchter Edge-Komponenten So führte eine ungepatchte Firewall zur kompletten Netzwerkübernahme

Innerhalb von nur 48 Stunden gelang es einer Ransomware-Gruppe ein Netzwerk vollständig zu verschlüsseln. Der Einstieg gelang über eine ungepatchte FortiGate-Firewall und Fehlkonfigurationen. Der Fall zeigt, wie schnell Edge‑Lücken eskalieren: Credential‑Diebstahl, Kerberoasting, laterale Bewegung. Wir nennen priorisierte Maßnahmen von Patchen bis AD‑Härtung.

Der Angriff der Gruppe „INC Ransom“ begann mit der Ausnutzung der Schwachstelle FG-IR-24-535 (FortiOS 7.0.15). Durch eine Fehl­kon­fi­gu­ra­ti­on einige Wochen vor dem Angriff, war das Management-Interface der FortiGate-Firewall aus dem Internet erreichbar. So konnten die Angreifer Administratorrechte erlangen, ein SSL-VPN für den Fernzugriff einrichten und Zugangsdaten wie RADIUS-Benutzer, VPN-Pre-Shared-Keys und TLS-Zertifikate mit FG-IR-19-007 extrahieren.

Innerhalb von 48 Stunden waren nahezu alle Hyper-V-Server verschlüsselt - ein deutliches Beispiel dafür, wie schnell Ransomware bei vorhandenen Sicherheitslücken zuschlagen kann und wie kritisch Patching nach wie vor ist. Zusätzlich zur Verschlüsselung wurden ebenfalls Daten exfiltriert. Dies ist Teil der gängigen “Double Extortion” (Erpressung über Verschlüsselung und Erpressung über Datenklau) Praxis von heutigen Ransomware Gruppen.

Authentifizierungsumgehung

Neue Ransomware nutzt Zero-Day-Schwachstellen bei Fortinet aus

Typisches Vorgehen der Angreifer

Unsere Analyse zeigt ein wiederkehrendes Muster bei FortiGate-Angriffen:

• Konfiguration eines maliziösen „super_admin“-Kontos für dauerhaften Zugriff

• Extraktion von VPN-Pre-Shared-Keys, RADIUS-Usern und TLS-Zertifikaten aus der Firewall-Konfiguration

• Manipulation der SSL-VPN-Einstellungen für Fernzugriff

• Lateral Movement bis zu Domain-Admin-Rechten

Selbst bekannte Angriffstechniken wirken effektiv, wenn kritische Komponenten unzureichend gesichert sind.

Täuschung bei den Lösegeldverhandlungen

Während der Verhandlungen stellte INC Ransom falsche Informationen bereit. So behaupteten die Angreifer, ein FortiGate-Administratorkonto sei per Brute Force geknackt worden. Diese Behauptung konnten unsere forensischen Analysen jedoch widerlegen. Die Analysen haben gezeigt, dass Anmeldeversuche an Admin-Accounts nur von bestimmten vertrauenswürdigen IP-Adressen möglich war (Fortigate Trusted Hosts for Admin Accounts). Zusätzlich löschten sie Hyper-V-Volumes, sodass selbst eine Lösegeldzahlung keine schnelle Wiederherstellung ermöglicht hätte.

The Global Cost of Ransomware

Erschreckende Zahlen zu Ransomware-Attacken weltweit

Technische Details zum Angriff

INC Ransom verschaffte sich initial Zugang zur Umgebung durch die Ausnutzung der Schwachstelle FG-IR-24-535 (FortiOS 7.0.15) in der FortiGate-Firewall. Das Management Interface der nicht gepatchten Firewall war versehentlich über das Internet erreichbar. Mit dem Exploit legten die Angreifer ein maliziöses „super_admin“-Konto an und richteten eine SSL-VPN-Konfiguration ein, um sich dauerhaft Fernzugriff auf das Netzwerk des Opfers zu sichern.

Die kompromittierte FortiGate-Firewall wurde außerdem genutzt, um Credentials eines für die RADIUS-Authentifizierung konfigurierten Active-Directory-Benutzers zu extrahieren (weitere Details siehe FG-IR-19-007). Mit diesen Zugangsdaten analysierten die Angreifer die Active-Directory-Domäne, identifizierten schwach konfigurierte Konten und führten anschließend einen Kerberoasting-Angriff durch. Dabei konnten sie das Passwort des built-in Domain-Admin-Kontos knacken, das zusätzlich als Service Principal für Single Service Installations konfiguriert war.

Mit den erlangten Domain-Admin-Rechten bewegte sich INC Ransom lateral durch das Netzwerk, hauptsächlich über Remote Desktop Protocol (RDP). Dabei wurden zentrale Server wie File-Server und Hyper-V-Hosts angegriffen. Über 10.000 Dateien wurden exfiltriert, bevor die Ransomware innerhalb von 48 Stunden nahezu alle Hyper-V-Server verschlüsselte. Die Angreifer setzten dabei eine Variante ihres Crypters namens win.exe ein.

In einigen Fällen mussten sie die Malware für die Verschlüsselung manuell in virtuellen Maschinen ausführen oder sogar ganze Hyper-V-Volumes löschen. Dies deutet darauf hin, dass sie Workarounds nutzten, wenn VMs nicht gestoppt werden konnten oder Dateisystem-Sperren die automatisierte Verschlüsselung verhinderten. Parallel dazu wurde ein Meterpreter-basierter Remote-Access-Trojaner auf einem Hypervisor eingesetzt, vermutlich als Fallback-Zugriffsmethode oder zur Überwachung der laufenden Verschlüsselung.

Unternehmen müssen keine leichte Beute sein

Diese 10 Fehler lieben Ransomware-Angreifer

Handlungsempfehlungen aus der Praxis

Unsere forensischen Analysen haben tiefe Einblicke in die Vorgehensweisen der INC Ransom-Angreifergruppe ermöglicht. Aus diesen Erkenntnissen konnten wir konkrete Handlungsempfehlungen ableiten, die Ihnen in Zukunft helfen, solche Angriffe zu verhindern und frühzeitig zu erkennen:

• Schnelles Patchen: Kritische Schwachstellen in öffentlich erreichbaren Komponenten sofort schließen.

• Konfigurationsüberprüfung: Regelmäßige Checks der Netzwerkgeräte helfen, Fehlkonfigurationen frühzeitig zu erkennen.

• Principle of least privilege: Konten nur mit den unbedingt notwendigen Rechten ausstatten.

• Active Directory-Härtung: PingCastle-Reviews, LAPS und AD-Tiering.

• Monitoring: Canary-Konten und Alerts für ungewöhnliche Logins.

• Defense-in-Depth: Kombination aus Prävention, Detection und Response als kontinuierlicher Prozess.

Die Analyse zeigt eindrücklich, wie eine Kombination aus ungepatchten Geräten, Fehlkonfigurationen und bekannten Angriffstechniken innerhalb kürzester Zeit zu einer vollständigen Kompromittierung führen kann.

Indicators of Compromise (IOCs)

Weitere Details und eine vollständige Liste der IOCs stellt HvS Consulting in ihrem IOC-Feed bereit.

Über die Autoren

Moritz Oettle ist Head of Incident Response bei HvS Consulting.
Marc Ströbl ist Cyber Security Consultant, ebenfalls bei der HvS Consulting GmbH.

Zwei neue Insolvenzanträge

Cyberattacken treiben deutsche Unternehmen in den Ruin

(ID:50660802)