04/07/2019

APT33: Cyber-kriminelle Gruppe nutzt CVE-2017-11774

Bereits seit 2017 bestehende „Outlook“-Sicherheitslücke noch immer virulent.

Bereits seit 2017 bestehende „Outlook“-Sicherheitslücke noch immer virulent

[datensicherheit.de, 04.07.2019] Im Kontext der aktuellen Berichterstattung über die bereits seit 2017 bestehende „Outlook“-Sicherheitslücke CVE-2017-11774 kommentiert das „Advanced Practices Teams“ von FireEye: „FireEye hat im vergangenen Jahr mehrere iranische Hacker beobachtet und Beweise dafür veröffentlicht, wie sie die ,Outlook‘-Schwachstelle CVE-2017-11774 ausnutzen. FireEye weist die Merkmale in der Warnung des US Cyber Command, eine US-amerikanische Behörde für Internetsicherheit, zu CVE-2017-11774 der Gruppe ,APT33‘ zu.“

Verwendete Techniken im Einklang mit Verhalten von APT33

Die verwendeten Techniken stehen demnach „im Einklang mit dem Verhalten von ,APT33‘, wie es FireEye im veröffentlichten ,OVERRULED‘-Blogpost im Dezember 2018 beschrieben habe – sowie der aktuellen Kampagne von ,APT33‘, die im Juni identifiziert wurde und eine verstärkte Ausrichtung auf viele in den USA ansässige Institutionen aufweist.“

CVE-2017-11774 verwirrt viele Sicherheitsexperten

Die Ausnutzung von CVE-2017-11774 führe weiterhin zu Verwirrung bei vielen Sicherheitsexperten. Wenn „Outlook“ von bösartigen Anwendungen befallen ist, werde häufig davon ausgegangen, dass der betroffene Nutzer Opfer einer Phishing-Attacke wurde – was hier jedoch nicht der Fall sei. „Das Unternehmen kann wertvolle Zeit verschwenden, ohne sich auf die eigentliche Ursache zu konzentrieren.“

APT33 nutzt „Password Spraying“

Bevor ein Gegner eine Schwachstelle ausnutzen könne, benötige er gültige Anmeldeinformationen eines Nutzers. Bei „APT33“ würden diese oft durch sogenanntes „Password Spraying“ erlangt. Dabei versuchten Bedroher Zugriff zu erlangen, indem sie wenige, häufig verwendeten Passwörtern bei einer großen Anzahl von Konten ausprobierten.

Oft fehlende geeignete Zugriffskontrollen in Unternehmen

Seit mindestens einem Jahr nutzten die Gruppen „APT33“ und „APT34“ diese Technik mit Erfolg – aufgrund der fehlenden geeigneten Zugriffskontrollen in Unternehmen für E-Mails wie Multi-Faktor-Authentisierung und Patches für E-Mail-Anwendungen in Bezug auf CVE-2017-11774.

Weitere Informationen zum Thema:

twitter, 02.07.2019
USCYBERCOM Malware Alert