Die neue Frontlinie der Ransomware: Warum Enterprise-VPNs unter Beschuss stehen
TL;DR
Die neue Frontlinie der Ransomware: Warum Enterprise-VPNs unter Beschuss stehen
Der digitale Perimeter bröckelt, und die Angreifer klopfen nicht nur an – sie spazieren direkt durch die Vordertür. Im Laufe des Jahres 2025 haben globale Cybersicherheitsbehörden und Threat Hunter eine massive Eskalation gezielter Angriffe auf Enterprise-VPN-Gateways und Edge-Infrastrukturen beobachtet. Hierbei handelt es sich nicht um zufälliges Rauschen. Es sind chirurgische Hochrisiko-Operationen, die eine Kombination aus kritischen Remote Code Execution (RCE)-Schwachstellen, Authentifizierungs-Umgehungen und Brute-Force-Attacken nutzen, gegen die herkömmliche Abwehrmechanismen wie Papierschilde wirken.
Die aktuelle Landschaft ist ein Minenfeld. Große Anbieter wie Cisco, Fortinet und Palo Alto Networks stehen im Fadenkreuz. Forscher haben diese Kampagnen auf eine gefährliche Mischung aus staatlich geförderten APT-Gruppen und Ransomware-Syndikaten zurückgeführt. Der gemeinsame Nenner? Sie setzen verstärkt auf automatisierte, KI-gestützte Taktiken, um Schwachstellen aufzuspüren und auszunutzen, noch bevor Ihr Sicherheitsteam die Patch-Hinweise überhaupt lesen kann.
Der Goldrausch der Schwachstellen
Bei der aktuellen Angriffswelle geht es nicht nur um das Eindringen; es geht darum, die Werkzeuge, die eigentlich zur Sicherung von Netzwerken dienen sollten, als Waffe einzusetzen. Wenn Sie diese Systeme betreiben, dürften die folgenden Schwachstellen Ihr SOC-Team derzeit um den Schlaf bringen:
- CVE-2025-20393 (Cisco AsyncOS): Dies ist ein Albtraum. Mit einem CVSS-Score von 10.0 ist es die ultimative „Freikarte“ für Angreifer. Es betrifft Secure Email Gateways und ermöglicht Remote Code Execution. Wir haben bereits gesehen, wie die China-basierte APT-Gruppe UAT-9686 dies nutzt, um die 'AquaShell'-Backdoor zu installieren und so sicherzustellen, dass sie auch nach dem ersten Einbruch im Netzwerk verbleibt.
- CVE-2025-59718 und CVE-2025-59719 (Fortinet): Diese Schwachstellen entfernen quasi die Schlösser von den Türen und ermöglichen es Angreifern, die Authentifizierung auf Fortinet-Geräten zu umgehen. Dies ist ein direkter Weg in Firewalls und VPN-Gateways, die eigentlich nicht zugänglich sein sollten.
- Die 'FortiBleed'-Kampagne: Dies ist nicht nur eine Schwachstelle, sondern eine ausgewachsene Kampagne. Globale Behörden schlagen Alarm und weisen darauf hin, dass Angreifer dies nutzen, um Anmeldedaten in großem Stil zu ernten.
Bild mit freundlicher Genehmigung von Rod Trent's Substack
Das Ausmaß ist erschütternd. Wir sehen Brute-Force-Kampagnen, die über 10.000 eindeutige IP-Adressen gleichzeitig nutzen, um Cisco- und Palo Alto Networks-Gateways zu attackieren. Es ist ein Zahlenspiel, und die Angreifer gewinnen. Gateway-Sicherheitsgeräte machen mittlerweile erstaunliche 17 % aller ausgenutzten Schwachstellen aus. Der Perimeter ist nicht nur dünn; er ist faktisch transparent.
Taktische Verschiebungen: Die neue Normalität
Betrachtet man die Daten aus der ersten Jahreshälfte 2025, wird das Bild düsterer. Die Zahl der CVE-Veröffentlichungen stieg im Vergleich zum Vorjahr um 16 %, wobei 161 Schwachstellen aktiv in freier Wildbahn ausgenutzt wurden. Das Entscheidende dabei? Fast 69 % dieser Exploits erfordern keinerlei Authentifizierung. Sie brauchen kein Passwort, wenn die Tür bereits aus den Angeln gehoben wurde.
Wie in den Malware- und Schwachstellentrends für H1 2025 dokumentiert, ist der taktische Wandel klar: Angreifer setzen verstärkt auf vielseitige Remote Access Trojans (RATs) wie AsyncRAT, XWorm und Remcos. Sie werden auch kreativ bei Lieferkettenangriffen, wie etwa der PyStoreRAT-Kampagne, die direkt auf IT-Fachkräfte abzielt, um einen Fuß in das Unternehmen zu bekommen.
| Vektortyp | Primäres Ziel | Hauptmerkmal |
|---|---|---|
| Remote Code Execution | Cisco AsyncOS | 10.0 CVSS / APT-Verbindung |
| Authentifizierungs-Umgehung | Fortinet Gateways | Offenlegung von Anmeldedaten |
| Brute-Force | VPN Gateways | 10.000+ eindeutige IPs |
| Lieferkette | IT-Fachkräfte | PyStoreRAT-Bereitstellung |
So halten Sie die Stellung
Die Verteidigung gegen dieses Chaos erfordert mehr als nur ein Firewall-Update. Sie erfordert einen grundlegenden Wandel in unserem Vertrauensverständnis. Globale Behörden drängen Unternehmen dazu, die Risiken der Offenlegung von Anmeldedaten bei Kampagnen wie FortiBleed zu erkennen. Die Botschaft ist simpel: Patchen Sie schnell oder zahlen Sie den Preis.
Sicherheitsexperten müssen bei den aktuellen Infrastruktur-Warnmeldungen für Cisco und Fortinet hellwach sein. Da diese Exploits oft die Authentifizierung vollständig umgehen, ist Ihr Perimeter im Grunde nur ein Vorschlag, kein Hindernis. Wenn Sie Ihre Verteidigung stärken wollen, beginnen Sie hier:
- Patchen ist nicht verhandelbar: Wenn Sie CVE-2025-20393, CVE-2025-59718 und CVE-2025-59719 noch nicht behoben haben, hören Sie auf zu lesen und erledigen Sie es jetzt.
- Schaffen Sie statische Passwörter ab: Wechseln Sie zu phishing-resistenter MFA. Wenn Ihr VPN-Zugang immer noch nur auf einem Passwort basiert, laden Sie diese Gruppen förmlich ein.
- Segmentieren Sie Ihr Netzwerk: Wenn Angreifer in das Gateway gelangen, verhindern Sie, dass sie an die Kronjuwelen kommen. Begrenzen Sie die laterale Bewegung durch die Abschottung Ihrer kritischen Infrastruktur.
- Achten Sie auf Verhalten, nicht nur auf Signaturen: Nutzen Sie EDR-Tools, um nach den spezifischen Spuren von RATs wie AsyncRAT oder der AquaShell-Backdoor zu suchen.
Die Integration von KI in diese Ransomware-Kampagnen hat eine schleichende Bedrohung in eine Hochgeschwindigkeitskollision verwandelt. Angreifer nutzen Schwachstellen in einem Tempo aus, bei dem manuelles Patchen einfach nicht mithalten kann. Während standardisierte Angriffs-Frameworks hilfreich sind, um diese Bedrohungen abzubilden, sind sie nur so gut wie die Reaktionszeit des Teams, das sie nutzt.
Die Realität ist, dass sich der Perimeter aufgelöst hat. Zwischen mobilem Finanzbetrug und dem Aufstieg ausgeklügelter Relay-Angriffe werden „innen“ und „außen“ zu bedeutungslosen Unterscheidungen. Wir befinden uns in einer Ära der identitätszentrierten Sicherheit. Wenn Sie nicht jeden einzelnen Verbindungsversuch zu Ihrem VPN rigoros validieren, sind Sie bereits im Hintertreffen. Bleiben Sie wachsam, bleiben Sie paranoid und halten Sie Ihre Patches aktuell – die Alternative ist weitaus teurer.
