Chinesische Cyber-Spionage-Kampagne trifft tausende FortiGate Firewalls

10. Juni 2024 – Der niederländische Nationale Cyber Security Center (NCSC) hat zusammen mit dem Militärischen Nachrichtendienst (MIVD) und dem Allgemeinen Nachrichtendienst (AIVD) eine fortgesetzte, staatlich unterstützte chinesische Cyber-Spionage-Kampagne aufgedeckt. Diese Kampagne, die als COATHANGER bekannt ist, nutzt Schwachstellen in FortiGate-Firewalls aus und hat sich als wesentlich umfangreicher erwiesen, als ursprünglich angenommen.

Eine Untersuchung des MIVD hat ergeben, dass die COATHANGER-Malware mindestens 20.000 FortiGate-Geräte weltweit in den Jahren 2022 und 2023 kompromittiert hat. Dabei wurde eine Schwachstelle (CVE-2022-42475) ausgenutzt, die der Angreifer bereits zwei Monate vor ihrer offiziellen Bekanntmachung kannte. Während dieser Zero-Day-Periode wurden bis zu 14.000 Geräte infiziert, darunter Systeme von westlichen Regierungen, diplomatischen Institutionen und Unternehmen der Verteidigungsindustrie.

Die Malware ermöglichte es dem Angreifer, dauerhaften Zugang zu den kompromittierten Systemen zu erlangen, selbst wenn die Opfer FortiGate-Updates installiert hatten. Es ist unklar, wie viele dieser Geräte tatsächlich für weiterführende Operationen genutzt wurden, aber die niederländischen Nachrichtendienste halten es für wahrscheinlich, dass der Angreifer seine Zugriffe erweitert und möglicherweise Daten gestohlen hat, was weltweit Hunderte von Opfern betreffen könnte.

Das NCSC warnt vor den Risiken, die mit Edge-Geräten wie Firewalls, VPN-Servern und Routern verbunden sind, da diese häufig anfällig und nicht durch Endpunkterkennungslösungen geschützt sind. Sie rufen zu erhöhter Wachsamkeit auf und empfehlen Organisationen, das „Assume Breach“-Prinzip anzuwenden, um den Schaden durch mögliche Angriffe zu minimieren.

Um die Risiken zu managen, hat das NCSC ein Faktenblatt veröffentlicht, das Herausforderungen und Sicherheitsmaßnahmen für den Umgang mit Edge-Geräten detailliert beschreibt.