APT33: Cyber-kriminelle Gruppe nutzt CVE-2017-11774

Bereits seit 2017 bestehende „Outlook“-Sicherheitslücke noch immer virulent

[datensicherheit.de, 04.07.2019] Im Kontext der aktuellen Berichterstattung über die bereits seit 2017 bestehende „Outlook“-Sicherheitslücke CVE-2017-11774 kommentiert das „Advanced Practices Teams“ von FireEye: „FireEye hat im vergangenen Jahr mehrere iranische Hacker beobachtet und Beweise dafür veröffentlicht, wie sie die ,Outlook‘-Schwachstelle CVE-2017-11774 ausnutzen. FireEye weist die Merkmale in der Warnung des US Cyber Command, eine US-amerikanische Behörde für Internetsicherheit, zu CVE-2017-11774 der Gruppe ,APT33‘ zu.“

Verwendete Techniken im Einklang mit Verhalten von APT33

Die verwendeten Techniken stehen demnach „im Einklang mit dem Verhalten von ,APT33‘, wie es FireEye im veröffentlichten ,OVERRULED‘-Blogpost im Dezember 2018 beschrieben habe – sowie der aktuellen Kampagne von ,APT33‘, die im Juni identifiziert wurde und eine verstärkte Ausrichtung auf viele in den USA ansässige Institutionen aufweist.“

CVE-2017-11774 verwirrt viele Sicherheitsexperten

Die Ausnutzung von CVE-2017-11774 führe weiterhin zu Verwirrung bei vielen Sicherheitsexperten. Wenn „Outlook“ von bösartigen Anwendungen befallen ist, werde häufig davon ausgegangen, dass der betroffene Nutzer Opfer einer Phishing-Attacke wurde – was hier jedoch nicht der Fall sei. „Das Unternehmen kann wertvolle Zeit verschwenden, ohne sich auf die eigentliche Ursache zu konzentrieren.“

APT33 nutzt „Password Spraying“

Bevor ein Gegner eine Schwachstelle ausnutzen könne, benötige er gültige Anmeldeinformationen eines Nutzers. Bei „APT33“ würden diese oft durch sogenanntes „Password Spraying“ erlangt. Dabei versuchten Bedroher Zugriff zu erlangen, indem sie wenige, häufig verwendeten Passwörtern bei einer großen Anzahl von Konten ausprobierten.

Oft fehlende geeignete Zugriffskontrollen in Unternehmen

Seit mindestens einem Jahr nutzten die Gruppen „APT33“ und „APT34“ diese Technik mit Erfolg – aufgrund der fehlenden geeigneten Zugriffskontrollen in Unternehmen für E-Mails wie Multi-Faktor-Authentisierung und Patches für E-Mail-Anwendungen in Bezug auf CVE-2017-11774.

Weitere Informationen zum Thema:

twitter, 02.07.2019
USCYBERCOM Malware Alert

FIREEYE,21.12.2018
Threat Research / OVERRULED: Containing a Potentially Destructive Adversary

datensicherheit.de, 26.06.2019
Zscaler: Warum Office 365 für Stau im Netzwerk sorgen kann

datensicherheit.de, 19.05.2019]
Account Takeover-Angriffe: Wie Unternehmen ihre Office 365-Konten schützen können

datensicherheit.de, 22.04.2019
Proofpoint: Kommentar zu Sicherheitsvorfällen bei Office 365

datensicherheit.de, 17.04.2019
Office 365: Zunehmendes Risiko von Cloud-Account-Attacken

datensicherheit.de, 15.04.2019
Hackerangriff auf Outlook.com: Schwachstelle Privileged Account

datensicherheit.de, 03.03.2019
FireEye: Zehnter M-Trends Report veröffentlicht

datensicherheit.de, 03.02.2019
Microsoft 365-Nutzer konnten keine Links mehr öffnen

datensicherheit.de, 22.04.2013
FireEye-Studie belegt die zunehmend globale Natur von Cyber-Attacken