Letzte Woche wurde bekannt, dass ein hochqualifizierter Angreifer in das Netzwerk von FireEye eingedrungen ist und die Red-Team-Testtools des Unternehmens gestohlen hat. Der Angriff steht Berichten zufolge im Zusammenhang mit einem größeren Angriff auf die Lieferkette im Zusammenhang steht, von dem Regierungs-, Beratungs-, Technologie- und Telekommunikationsunternehmen in ganz Nordamerika, Europa, Asien und dem Nahen Osten betroffen waren.
Um eine Vorstellung davon zu bekommen, wozu dieses gestohlene Toolset fähig ist, können Sie sich diePrioritätenliste der CVEs, die FireEye Unternehmen zur sofortigen Behebung empfiehlt-im Wesentlichen die Liste der bekannten Schwachstellen, die FireEye (und jetzt jeder Gegner mit seinen Tools) leicht ausnutzen kann. Die Liste zeigt, dass alles von Citrix über Terminaldienste, Microsoft Exchange, Windows-Endpunkte bis hin zu Microsoft Outlook gefährdet ist. Besonders besorgniserregend an der Spitze der Liste ist eine NETLOGON-Schwachstelle, die dazu führt, dass der Angreifer durch eine Eskalation der Privilegien in Microsoft Active Directory Zugriff auf den Domänenadministrator erhält. Sollte ein Angreifer diese spezielle Schwachstelle ausnutzen, könnten die erlangten Privilegien angesichts der Natur von Active Directory den Zugriff auf alles in Ihrem Netzwerk erleichtern.
Berichten zufolge hat der Angreifer neben anderen Zielen wie dem US-Finanzministerium und dem Handelsministerium auch FireEye kompromittiert, wobei „mit Trojanern infizierten“ Updates für SolarWinds, einen Technologieanbieter, der die Bundesregierung und Fortune-500-Unternehmen bei der Überwachung des Zustands ihrer IT-Netzwerke unterstützt. Die Updates verbreiteten Malware, die FireEye als SUNBURST bezeichnete. Dieser jüngste Angriff auf die Lieferkette hat die IT-Branche erschüttert – und das zu Recht, wenn man den großen Kundenstamm von SolarWinds bedenkt. In den am 14. Dezember bei der SEC eingereichten Unterlagen erklärte SolarWinds , dass 18.000 Kunden das mit Malware verseuchte Update installiert haben. Die Geschichte entwickelt sich noch weiter, und das Ausmaß des Schadens ist weiterhin unbekannt.
In einemAl Jazeera-Interviewam selben Morgen verglich Richard Stiennon, Chief Research Analyst bei IT-Harvest, die Supply-Chain-Attacke mit NotPetya, das sich ebenfalls als legitimes Software-Update tarnte.NotPetya ist mit Abstand die bisher zerstörerischste Cyberattacke, die einen Schaden von$10 Milliarden Gesamtschadenim Jahr 2017 verursacht, wie das Weiße Haus mitteilte. Wie viele namhafte Unternehmen, die von NotPetya betroffen sind, hat auch die weltgrößte Reederei Maersk,über eine Woche damit verbrachtsein Active Directory manuell wiederherzustellen.
Active Directory ist im Fadenkreuz der Angreifer
Zunächst einmal ist sich die Branche einig, dass FireEye sehr gut auf den Vorfall reagiert hat, indem es sich äußerst transparent zu den gestohlenenRed Team-Toolsdie benutzerdefinierte Skripte, einige öffentlich verfügbare Hacking-Tools und einige selbst entwickelte Toolsets enthalten.
Laut FireEye enthalten die Tools keine Zero-Day-Exploits, sodass für jede aufgeführte CVE Patches verfügbar sind. Dies ist jedoch keine Garantie dafür, dass jedes von der Liste betroffene System, jede Anwendung und jede Plattform auf dem neuesten Stand ist. Bitte beachten Sie die Liste und stellen Sie sicher, dass Ihre Umgebung auf dem neuesten Stand ist.
Es gibt einige Lektionen, die man aus dieser Geschichte proaktiv lernen kann:
1. Cyberangriffe nutzen zunehmend Schwachstellen in der Lieferkette als effektive Methode zur Verbreitung von Malware, um weitreichende Auswirkungen zu erzielen.
2. Die Bösewichte gehen über die "Spray and Pray"-Kampagnen hinaus und beginnen, sehr gezielt vorzugehen. Sie greifen die Guten an und nutzen jegliches geistige Eigentum (in diesem Fall interne Hacking-Tools), um die Oberhand zu gewinnen.
3. Wenn selbst ein Unternehmen wie FireEye, das sich ausschließlich auf Cybersicherheit konzentriert, nicht vollständig vor Angriffen geschützt ist, gilt dies auch für Ihr Unternehmen.
4. Hochentwickelte automatisierte Tools können leicht in die Hände eines unerfahrenen Angreifers gelangen und ihn zu einem ebenso gefährlichen Gegner machen wie jemanden mit jahrelanger Red Team-Erfahrung.
5. Windows und Active Directory sind die Hauptziele moderner Cyberangriffe. Die zentralisierte Art des Zugriffs auf Benutzerkonten mit erhöhten Rechten macht Active Directory zum perfekten Ziel für Cyberangriffe. Daher müssen Unternehmen ein wachsames Auge auf Änderungen an Active Directory haben und sogar Maßnahmen ergreifen, um kontinuierlich nach Indikatoren für eine Gefährdung zu suchen, Änderungen zu verhindern, die den Zugriff auf andere Teile Ihrer Umgebung weiter erhöhen würden, und darauf vorbereitet sein, sich von Ransomware und anderen Angriffen auf die Datenintegrität zu erholen.
Zwar wurden bei dem Angriff auf FireEye keine bisher unbekannten Tools oder Exploits eingesetzt, doch verdeutlicht er, wie wichtig es ist, Ihre Umgebung durch Patches gegen bekannte Sicherheitslücken zu schützen, und welche entscheidende Rolle Active Directory bei den heutigen Cyberangriffen spielt. Als Torwächter für kritische Anwendungen und Daten ist Active Directory zu einem Hauptziel für groß angelegte Angriffe geworden, die in den letzten Jahren Unternehmen lahmgelegt haben. Indem Sie verstehen, worauf sich die Angreifer konzentrieren, sollten Sie Ihre Sicherheitsstrategie entsprechend anpassen, um Ihre Abwehrmaßnahmen gezielt auf jene Teile Ihrer Umgebung auszurichten, die für Angreifer von besonderem Wert sind.
Angesichts des Ausmaßes des Supply-Chain-Angriffs auf SolarWinds und der darauf folgenden Angriffe auf Regierungsbehörden und hochrangige Unternehmen werden wir in den kommenden Tagen wahrscheinlich weitere Opfer sehen, die ihre Schwachstellen bekannt geben.Wenn Sie Fragen dazu haben, wie Sie Ihr Active Directory gegen die von FireEye veröffentlichte Liste von Sicherheitslücken oder andere Angriffe in freier Wildbahn schützen können, zögern Sie bitte nicht, sich mitzu kontaktieren.die Mitarbeiter von Semperis.
