FortiBleed: Golang-Sniffer erbeutet 110 Millionen Credentials
Eine grossangelegte Kampagne zielt auf Fortinet FortiGate-Firewalls ab und hat bereits über 110 Millionen Authentifizierungsdaten kompromittiert. Laut Dark Reading engineerten Angreifer einen Golang-basierten Sniffer, um mindestens 430.000 FortiGate-Geräte ins Visier zu nehmen und Credentials aus dem laufenden Netzwerkverkehr abzufangen. Das Security-Unternehmen SOCRadar dokumentiert, dass die FortiBleed-Kampagne Custom-Sniffer einsetzt, um Authentication Secrets direkt von kompromittierten Firewalls zu ernten — ein Ansatz, der seit mindestens Februar 2026 aktiv ist. Die gesammelten Daten werden dem Darknet angeboten oder für weitere Anschlussverstösse monetarisiert.
Hinter der Kampagne steckt laut SecurityWeek ein russischer Initial Access Broker (IAB), der sich auf den Verkauf von Firmennetzwerk-Zugang spezialisiert hat. Die Attacken nutzen bekannte FortiGate-Schwachstellen, um Codeausführung zu erreichen und Sniffer-Tools zu platzieren. Sobald die Malware läuft, zeichnet sie unverschlüsselt übertragene oder lokal gecachte Credentials auf — von SSH-Keys über LDAP-Passwörter bis zu API-Tokens. Der Golang-Sniffer ist modular aufgebaut und kann je nach Zielinfrastruktur angepasst werden.
Für Unternehmen im deutschsprachigen Raum sind FortiGate-Geräte weit verbreitet, besonders in Mittelständlern und Finanzsektor. Ein Datenleck aus Firewall-Memory betrifft unmittelbar Zertifikat-Speicher, VPN-Sessions und administrative Accounts — was sofort DSGVO-relevante Meldepflichten auslösen kann. Patch-Status überprüfen: Fortinet hat seit März 2026 mehrere CVEs adressiert. Gleichzeitig sollten Firmen ihre KI-Pentesting-Strategien auf Firmware- und Sniffer-Erkennung erweitern — Custom-Malware lässt sich durch statische Signaturen oft nicht fassen. Ein konkretes Monitoring-Setup mit Netzwerk-Anomalie-Detection (unerwartete Datenabflüsse aus Firewall-Prozessen) und regelmässiges Red-Team-Testing gegen Zugriffspfade im Firmennetz verschärft die Reaktionsfähigkeit erheblich.
Der nächste Schritt: Inventarisieren aller FortiGate-Modelle, Patch-Versionen verifizieren, Firewall-Logs auf verdächtige Prozess-Starts durchsuchen und Credential-Rotation für alle im betroffenen Netzwerk generierten Secrets einleiten.