Aktuelles, Branche - geschrieben von dp am Mittwoch, März 3, 2021 22:24 - noch keine Kommentare
Microsoft Exchange: Zero-Day-Lücken ermöglichen Industriespionage
Lokal installierte Versionen von Microsoft Exchange betroffen
[datensicherheit.de, 03.03.2021] Microsoft habe am Abend des 2. März 2021 Notfall-Patches für insgesamt vier bisher ungepatchte Sicherheitslücken in „Microsoft Exchange“ veröffentlicht. Diese Lücken würden derzeit von staatlichen Akteuren aktiv ausgenutzt.
Tim Berghoff: Überstunden für IT-Admins!
Bereitgestellte Updates für Microsoft Exchange unverzüglich installieren!
G DATA warnt aktuell: Vier Zero-Day-Sicherheitslücken in lokal installierten Versionen von „Microsoft Exchange“ ermöglichten sowohl eine Authentisierung ohne Nutzerdaten, das Schreiben und Ausführen von beliebigem Code als auch die Ausleitung von Unternehmensdaten. Angreifer könnten sogar ganze Offline-Adressbücher und Mailboxen exfiltrieren.
Daher rate Microsoft, die bereitgestellten Updates unverzüglich zu installieren: Alle vier Zero-Day-Lücken hätten eine CVE zugewiesen bekommen (CVE-2021-26855,CVE-2021-26857, CVE-2021-26858 und CVE-2021-27065). Betroffen seien lokale Installationen von „Microsoft Exchange“. Die Online-Versionen sind demnach von den Lücken „nach derzeitigen Erkenntnissen nicht betroffen“.
Gruppe „Hafnium“ nutzt Lücken in Microsoft Exchange derzeit aktiv
Es gebe eindeutige Anzeichen dafür, dass eine Gruppierung namens „Hafnium“ diese Lücken derzeit „aktiv nutzt“. Experten zufolge operiere diese Gruppe aus dem asiatischen Raum und im Auftrag einer Regierung.
„Auch wenn Unternehmen vermehrt Chat-Plattformen wie ,MS-Teams‘, ,Slack‘ oder andere nutzen, sind Mailserver nach wie vor das Herzstück vieler Unternehmen. Hier liegen extrem viele unternehmenskritische Daten“, erläutert Tim Berghoff, „Security Evangelist“ bei G DATA.
Notfall-Patches von Microsoft bedeuteten in der Regel vor allem eins: „Überstunden für IT-Admins“. Dass Angreifer die Sicherheitslücke bereits aktiv ausnutzten, zeige, wie wichtig zeitnahes Handeln in diesem Fall sei.
Angreifer geben sich als Microsoft Exchange-Server aus
Angreifer, welche die Lücken ausnutzen, gäben sich – vereinfacht gesagt – als „Exchange“-Server aus. Dadurch sei es möglich, die Zugänge zu kompromittieren, ohne selbst Kenntnis von Passwörtern zu haben. „Damit ist ein direkter Einblick in das Postfach des jeweiligen Nutzers möglich.“ Schon diese Sicherheitslücke allein wäre hochgradig kritisch.
Die übrigen Lücken würden unter anderem dafür genutzt, sogenannten Webshells auf dem Server einzurichten. Über diese könnten Angreifer dann jederzeit von außen auf Informationen zugreifen. Es gelte als gesichert, dass die Gruppierung hinter „Hafnium“ vor allem Forschungseinrichtungen (speziell solche, die in der Erforschung ansteckender Krankheiten aktiv seien), NGOs und Zulieferunternehmen für die Rüstungsindustrie ins Visier nehme.
„APT-Gruppen wie ,Hafnium‘ setzen in der Regel nicht auf kurzfristige und sichtbare Angriffe wie Ransomware – sondern versuchen über Zeit möglichst viele vertrauliche Daten zu sammeln. Fokus der Aktivitäten dürfte also in der Regel Industriespionage sein und nicht die klassische Verwertungskette organisierter Cybercrime-Gangs“, so Berghoff.
Täter haben bereits ganze Postfächer in Form der lokal gespeicherten Archivdatei von Microsoft Exchange ausgeleitet
Da die Täter auch bereits ganze Postfächer in Form der lokal gespeicherten Archivdatei ausgeleitet hätten, könne man die Kritikalität der entdeckten Sicherheitslücken nicht hoch genug bewerten. Es gebe jedoch eindeutige Anzeichen, „anhand derer sich klar erkennen lasse, ob sich derzeit jemand mit Hilfe dieser Kombination aus Zero-Day-Lücken Zugriff auf Unternehmensdaten verschafft hat“.
Eines dieser Anzeichen sei recht typisch für die Ausleitung von Daten. Beispielsweise speicherten die Täter Kopien der lokalen „Outlook“-Datei in einem ZIP-Archiv, welches in „%ProgramData%“ abgelegt werde. Ein regelmäßiger Blick könne sich also an dieser Stelle lohnen.
Typischerweise bereiteten die Täter die Ausleitung von Daten vor, indem sie die erbeuteten Informationen an einer Stelle sammelten und von dort aus dann nach außen sendeten. Im Falle von „Hafnium“ sei ein öffentlicher Online-Filesharing-Dienst namens „Mega“ verwendet wordem. Ein ebenfalls oft beobachtetes Anzeichen für verdächtige Aktivitäten in diesem Zusammenhang: „Prozess-Dumps, die in bestimmten Verzeichnissen wie c:\windows\temp abgelegt sind.“
Hinweise auf Ausnutzung von Microsoft Exchange durch „Hafnium“
Auf der Microsoft-Website sei eine sehr ausführliche Auflistung von Merkmalen und Kenndaten zu finden, die auf eine Ausnutzung durch „Hafnium“ hindeuteten.
Berghoff: „Darunter befinden sich bestimmte Aktivitäten, die sich in Log-Dateien wiederfinden. Ein Beispiel dafür wäre das automatisierte Herunterladen zusätzlicher Werkzeuge aus einem öffentlichen ,Github‘-Repository.“
Weitere Informationen zum Thema:
datensicherheit.de, 14.02.2021
Zerologon: Microsoft schloss kritische Schwachstelle
Microsoft, 02.03.2021
HAFNIUM targeting Exchange Servers with 0-day exploits
Aktuelles, Experten, Veranstaltungen - Okt 2, 2024 18:15 - noch keine Kommentare
Incident Response in Industrie-Unternehmen: Online-Veranstaltung am 16. Oktober 2024
weitere Beiträge in Experten
- Cyber-Sicherheit industrieller Anlagen: Internationales OT-Grundsatzpapier veröffentlicht
- BKA-II Entscheidung: BfDI begrüßt Klarheit für geplante Modernisierung polizeilicher Computersysteme
- BKA II: Bundesverfassungsgericht hat laut DAV wichtige Grenzen gesetzt
- EAID-Online-Diskussion: Cybersecurity und Datenschutz im globalen Spannungsfeld
- Cybercrime: BKA meldet erfolgreichen Schlag gegen Infrastruktur digitaler Geldwäscher der Underground Economy
Aktuelles, Branche - Sep 30, 2024 18:43 - noch keine Kommentare
Von NIS zu NIS-2 – neue Herausforderungen speziell für Unternehmen Kritischer IT-Infrastruktur
weitere Beiträge in Branche
- Satnam Narang kommentiert Schwachstellen im CUPS-Drucksystem
- Telegram: Lothar Geuenich plädiert für Balance zwischen Sicherheit und Verantwortung
- Über 76.000 Geräte von Kritischer Remote-Code-Schwachstelle in CUPS betroffen
- NIS-2-Richtlinie macht Druck: Veraltete Software auf Geräten erhöht Cyber-Risiko
- Frust in der IT-Abteilung: Erkenntnisse einer Sophos-Umfrage unter IT-Sicherheitspersonal
Branche, Umfragen - Dez 21, 2020 21:46 - noch keine Kommentare
Threat Hunting: Bedeutung und Wertschätzung steigt
weitere Beiträge in Service
- Umfrage: 71 Prozent der IT-Entscheidungsträger besorgt über Mehrfachnutzung von Passwörtern
- Fast die Hälfte der Unternehmen ohne geeignete Sicherheitsrichtlinien für Remote-Arbeit
- Umfrage: Bedeutung der Konsolidierung von IT-Sicherheitslösungen
- TeleTrusT-Umfrage: „IT-Sicherheit im Home Office“
- Cybersicherheit: SANS-Studie zu Frauen in Führungspositionen
Kommentieren