剣 KENSAI
Sicherheits-Briefing 🔴 Kritisch

Ransomware-Gruppen nutzen ungepatchte Fortinet-Firewalls in Massenkampagne aus

6 Min. Lesezeit
KRITISCH

Zusammenfassung für die Leitung

Mehrere Ransomware-Banden, darunter Mora_001, führen eine Massenausnutzungs-Kampagne gegen Fortinet-FortiGate-Firewalls, die für CVE-2024-55591 und CVE-2025-24472 anfällig sind. Die Angreifer erlangen Super-Admin-Zugriff über präparierte WebSocket- sowie HTTP-/HTTPS-Anfragen an die Node.js-Management-Schnittstelle. Über 50.000 Geräte wurden weltweit kompromittiert; die Angreifer bringen dabei eine neue Ransomware-Variante namens SuperBlack aus. Organisationen mit FortiOS 7.0.0–7.0.16 oder FortiProxy 7.0.0–7.0.19 müssen unverzüglich patchen.

⚡ Fazit: Wenn Sie Fortinet-Firewalls betreiben, gehen Sie von einer Kompromittierung aus und untersuchen Sie JETZT.

🔴
CVSS 9.6 — Kritisch

CVE-2024-55591 & CVE-2025-24472 — Authentifizierungsumgehung bei Fortinet

Die Schwachstelle

Zwei verwandte Schwachstellen zur Authentifizierungsumgehung in FortiOS und FortiProxy erlauben entfernten Angreifern, Super-Admin-Rechte auf Fortinet-FortiGate-Firewalls zu erlangen. CVE-2024-55591 nutzt das Node.js-WebSocket-Modul aus, während CVE-2025-24472 auf den CSF-Proxy über präparierte HTTP-/HTTPS-Anfragen zielt. Beide erreichen dasselbe verheerende Ergebnis: die vollständige Übernahme der Firewall ohne Zugangsdaten.

Die SuperBlack-Ransomware-Kampagne

Ein als Mora_001 geführter Bedrohungsakteur nutzt diese Schwachstellen nachweislich seit Ende Januar 2026 aus. Die Angriffskette ist hochgradig automatisiert: Nach Erlangung des Super-Admin-Zugriffs legen die Angreifer neue Admin-Konten an, ändern Firewall-Richtlinien, um Lateralbewegung zu ermöglichen, richten VPN-Tunnel für dauerhaften Zugang ein und bringen schließlich die Ransomware SuperBlack im gesamten Netz des Opfers aus.

SuperBlack scheint eine Ableitung von LockBit 3.0 (LockBit Black) zu sein und weist erhebliche Code-Überschneidungen auf, wird aber von einer eigenständigen Gruppe betrieben. Die Ransomware nutzt ein maßgeschneidertes Exfiltrationswerkzeug, um sensible Daten vor der Verschlüsselung zu stehlen, und ermöglicht so doppelte Erpressung.

Ausmaß der Kompromittierung

Die Shadowserver Foundation meldet, dass Ende Februar 2026 über 50.000 Fortinet-Geräte weiterhin exponiert und verwundbar sind. Die Kampagne trifft Organisationen aller Branchen, mit besonders starkem Fokus auf Gesundheitswesen, Fertigung und Behörden.

CVEKomponenteCVSSAuswirkung
CVE-2024-55591 FortiOS / FortiProxy (WebSocket) 9.6 Authentifizierungsumgehung → Super-Admin-Zugriff
CVE-2025-24472 FortiOS / FortiProxy (CSF-Proxy) 9.6 Authentifizierungsumgehung → Super-Admin-Zugriff
🔥

Vollständige Firewall-Übernahme

Angreifer erlangen Super-Admin-Zugriff, können sämtliche Firewall-Regeln ändern, VPN-Tunnel anlegen und Sicherheitsfunktionen deaktivieren

🦠

Ausbringung von Ransomware

SuperBlack-Ransomware wird in Opfernetzen ausgebracht, nachdem die Firewall-Kompromittierung Lateralbewegung ermöglicht hat

📤

Datenexfiltration

Ein maßgeschneidertes Exfiltrationswerkzeug stiehlt sensible Daten vor der Verschlüsselung und ermöglicht doppelte Erpressung

🌐

Über 50.000 exponierte Geräte

Zehntausende verwundbarer Fortinet-Geräte sind weiterhin aus dem Internet erreichbar und ungepatcht

Erforderliche Sofortmaßnahmen

  • FortiOS unverzüglich auf 7.0.17+ oder 7.2.x und FortiProxy auf 7.0.20+ oder 7.2.x aktualisieren
  • Zugriff auf die HTTP-/HTTPS-Management-Schnittstelle aus dem Internet deaktivieren
  • Alle Admin-Konten auditieren — nach seit Januar 2026 unautorisiert angelegten Konten suchen
  • Änderungen an Firewall-Richtlinien auf unautorisierte Modifikationen prüfen
  • Auf unautorisierte VPN-Konfigurationen und SSL-VPN-Zugänge prüfen
  • Protokolle nach jsconsole-Aktivität und WebSocket-Verbindungen zur Management-Schnittstelle durchsuchen
  • Bei Kompromittierung: isolieren, forensische Beweise sichern, Incident Response einbinden
⚠️ Kompromittierungsindikatoren: Achten Sie auf neue Admin-Konten (z. B. forticloud-tech, fortigate-firewall), unautorisierte Änderungen an Firewall-Richtlinien, ungewöhnliche jsconsole-Anmeldungen von öffentlichen IPs sowie VPN-Tunnel-Konfigurationen, die Sie nicht angelegt haben. Mora_001 operiert typischerweise aus IP-Bereichen mit AS-Nummern.
🔍
Erkennung

So erkennen Sie eine Kompromittierung

Fortinet hat detaillierte Kompromittierungsindikatoren (IOCs) veröffentlicht, die Organisationen unverzüglich prüfen sollten:

Schritte zur Erkennung

  • Admin-Anmeldeprotokolle prüfen: diagnose sys logdisk log filter category event
  • Auf unautorisierte Admin-Konten prüfen: config system admin → show
  • Änderungen an Firewall-Richtlinien der letzten 60 Tage auditieren
  • SSL-VPN-Portal-Konfigurationen auf unautorisierte Ergänzungen untersuchen
  • Ausgehenden Verkehr auf Muster der Datenexfiltration überwachen (große Uploads zu unbekannten IPs)
  • Im SIEM nach Zugriffen auf die Management-Schnittstelle von unerwarteten Quell-IPs suchen

Fortinet-Notfall-Checkliste

Sofort (jetzt)
  • Internetzugang zur Management-Schnittstelle deaktivieren
  • Auf unautorisierte Admin-Konten prüfen
  • FortiOS-/FortiProxy-Patches anwenden
  • Jüngste Änderungen an Firewall-Richtlinien überprüfen
Untersuchung (24–48 Stunden)
  • Vollständiges Audit der Admin-Konten und Zugriffsprotokolle
  • Auf VPN-Tunnel-Hintertüren prüfen
  • Internes Netz auf SuperBlack-Ransomware-IOCs scannen
  • Indikatoren für Datenexfiltration in den Netzwerkprotokollen prüfen
  • KENSAI-Scan auf allen Fortinet-geschützten Perimetern ausführen

Führen Sie jetzt einen KENSAI-Scan durch, um Schwachstellen in Ihrer Infrastruktur zu erkennen

🗡️ Systeme scannen →

🛡️ Ist Ihre Website sicher?

Entdecken Sie Schwachstellen, bevor Angreifer es tun.

Scannen Sie Ihre Website kostenlos →