Von den Angriffen auf Microsoft Exchange-Server in aller Welt durch die vom chinesischen Staat gesponserte Bedrohungsgruppe Hafnium sind vermutlich über 21.000 Unternehmen betroffen. Die Auswirkungen dieser Angriffe nehmen zu, da die vier Zero-Day-Schwachstellen von neuen Bedrohungsakteuren aufgegriffen werden.
Während die Welt am2. März von diesen kritischen Sicherheitslücken erfuhr, als Microsoft Sicherheitsupdates und Hinweise zur Schadensbegrenzung veröffentlichte, wurde die erste bekannte Ausnutzung dieser Sicherheitslücke Anfang Januar bekannt. Die von Microsoft empfohlenen Updates schützen Unternehmen zwar vor der fortgesetzten oder zukünftigen Ausnutzung dieser bekannten Schwachstellen, aber sie mindern nicht die bereits eingetretenen Sicherheitsrisiken. Und da diese Exchange-Schwachstellen dem Internet ausgesetzt sind, suchen Cyberkriminelle weiterhin eifrig nach ungepatchten Systemen, um sie in noch nie dagewesenem Umfang anzugreifen.
Vor kurzem hatte ich die Gelegenheit, mit Alan Sugano, dem Geschäftsführer der ADS Consulting Group, im Rahmen einer Folge des „HIP “-Podcasts über die Hafnium-Angriffe zu sprechen. Durch seine Tätigkeit bei der ADS Consulting Group, einer Beratungsorganisation, die zahlreiche kleine bis mittelständische Unternehmen mit fundierten Kenntnissen zu Microsoft Exchange unterstützt, ist Alan eng in die Maßnahmen zur Fehlerbehebung und Abwehr im Zusammenhang mit den Hafnium-Angriffen eingebunden. In meinem Gespräch mit Alan erörterten wir, worum es sich bei den Hafnium-Angriffen genau handelt und wie sie unbefugten Zugriff auf kritische Systeme wie Active Directory (AD) ermöglichen, sowie konkrete Handlungsempfehlungen, wie sich Unternehmen gegen diese Angriffe schützen können.
Wie funktionieren die Hafnium-Angriffe?
Bei den Hafnium-Angriffen handelt es sich um weitgehend automatisierte Angriffe, die auf der Grundlage der uns derzeit vorliegenden Informationen nach ungepatchten Exchange-Servern suchen. Indem sie vier Zero-Day-Schwachstellen ausnutzen, sind die Angreifer in der Lage, aus der Ferne nach Exchange-Servern zu suchen, die dem Internet ausgesetzt sind, um über Outlook Web Access (OWA) Zugriff auf jeden Exchange-Server zu erhalten. Anschließend erstellen sie eine Web-Shell, um den kompromittierten Server aus der Ferne zu steuern, die Daten eines Unternehmens zu stehlen und unbefugten Zugriff auf wichtige Systeme wie AD zu erhalten. Indem sie es auf AD abgesehen haben, können Cyberkriminelle ihre Privilegien erhöhen und seitlich auf andere Systeme und Umgebungen zugreifen.
Wie kann eine Organisation feststellen, ob sie gehackt worden ist?
Einer der wichtigsten Indikatoren für eine Kompromittierung (IOCs) ist das Vorhandensein einer ASPX-Datei, die dort eigentlich nicht zu sein scheint. Unternehmen können nach diesen Webshell-Dateien suchen, indem sie den folgenden Pfad überprüfen: C:inetpubwwwrootaspnet_clientsystem_web. Microsoft hat zudem verschiedene PowerShell-Skripte veröffentlicht, mit denen Unternehmen verschiedene Ordner auf Hafnium-IOCs überprüfen können und die angeben, nach welchen Dateinamen gesucht werden soll.
Sobald die ASPX-Datei vorhanden ist, spielt es keine Rolle mehr, ob ein Unternehmen seinen Server gepatcht hat. Wenn die ASPX-Datei vorhanden ist, bedeutet dies, dass die Web-Shell bereits installiert wurde und dass ein Angreifer Zugang zu verwundbaren Systemen hat.
Welche Schritte sollten Unternehmen unternehmen, um zu prüfen, ob sie kompromittiert wurden?
Unternehmen können von mehreren Varianten von „Hafnium“ betroffen sein, und es ist möglich, dass bereits neue Varianten entwickelt wurden, bei denen die Web-Shell in einem anderen Ordner erscheint, der nicht in den PowerShell-Skripten von Microsoft aufgeführt ist. Aus diesem Grund wird empfohlen, den Microsoft Safety Scanner herunterzuladen. Dieser führt einen vollständigen Scan des Exchange-Servers Ihres Unternehmens durch und erkennt Web-Shells, die von kommerzieller Antivirensoftware schlichtweg nicht erkannt werden können. Sich auf herkömmliche Antivirensoftware zu verlassen, vermittelt Ihrem Unternehmen lediglich ein falsches Gefühl der Sicherheit, während es weiterhin angreifbar bleibt.
Es ist wichtig zu wissen, dass der Microsoft Safety Scanner während der eigentlichen Überprüfung möglicherweise "infizierte Dateien" findet. Das klingt beängstigend, aber es kann sich auch nur um einen Teil einer Datei handeln, der einem der Muster entspricht, nach denen der Scanner sucht. Um sicherzugehen, dass Ihr Unternehmen nicht infiziert ist, müssen Sie die vollständigen Ergebnisse nach Abschluss des Index-Scans überprüfen. Der Sicherheitsscanner löscht zwar automatisch alle infizierten Dateien, aber es empfiehlt sich, den vollständigen Scan nach dem Neustart des Exchange Servers erneut durchzuführen, um sicherzustellen, dass keine Dateien übersehen wurden.
Welche Abhilfemaßnahmen sollte ein gefährdetes Unternehmen ergreifen?
Wenn der Microsoft Security Scanner eine Web-Shell findet, sollte das Unternehmen auch ScheduledTasks überprüfen, um sicherzustellen, dass keine geplanten Aufgaben vorhanden sind, die VSPerfMon ausführen, das Hintertüren öffnet, die einen dauerhaften Zugang zu den kompromittierten Exchange-Servern ermöglichen. Öffnen Sie dazu eine Eingabeaufforderung auf Exchange Server und führen Sie Schtasks.exe aus. Eine weitere potenzielle Hintertür ist das Vorhandensein eines Image-Pfadschlüssels für einen Opera-Browser, den Angreifer als Methode zum Starten eines Remote-Access-Trojaners verwenden, um die administrative Kontrolle zu ermöglichen. Vor der Entfernung von Hintertüren sollten Unternehmen den OWA-Zugang blockieren, um zu verhindern, dass Angreifer während des Sanierungsprozesses eine weitere Hintertür einschleusen.
Darüber hinaus führt jeder Einbruch in das Netzwerk eines Unternehmens unweigerlich zum Active Directory (AD), da Angreifern dadurch Zugriff auf privilegierte Anmeldedaten verschafft wird. Das bedeutet: Ist das AD kompromittiert, ist die gesamte Umgebung des Unternehmens gefährdet. Das Scannen von Systemen sowohl auf IOCs als auch auf IOEs (Indikatoren für eine Gefährdung) ist ein entscheidender Schritt zur Stärkung der AD-Sicherheit. Ein Hilfsmittel, das dabei helfen kann und das ich Sicherheitsexperten wärmstens empfehle, ist Purple Knightein kostenloses Tool zur Sicherheitsbewertung, das entwickelt wurde, um das AD innerhalb von Sekunden auf 59 verschiedene IOEs und IOCs zu überprüfen. Semperis hat zudem kürzlich „ Directory Services Protector “ (DSP) in der Version 3.5 weiterentwickelt, wodurch Unternehmen das AD kontinuierlich auf Sicherheitsindikatoren vor und nach Angriffen überwachen und gefährliche Schwachstellen aufdecken können.
Schließlich ist es wichtig, dass Sicherheitsteams sich bewusst darum bemühen, über Neuigkeiten im Zusammenhang mit Hafnium und Exchange Server auf dem Laufenden zu bleiben, insbesondere über neue Entdeckungen von Sicherheitslücken. Der TRUESEC-Blog und der Huntress-Blog sind hervorragende Informationsquellen.
Der Zugriff, der durch die Ausnutzung der Schwachstellen möglich ist, ist erheblich. Wenn Unternehmen schnell handeln, um Web Shells und andere Hintertüren zu entfernen, können sie ihre Daten schützen, bevor Angreifer die Möglichkeit haben, die Daten von kompromittierten Servern auszulesen.
---
Hören Sie sich das vollständige Gespräch über Hafnium-Angriffe mit Sean Deuby, Leiter des Dienstleistungsbereichs bei Semperis, und Alan Sugano, Präsident der ADS Consulting Group, in der neuesten Folge des „HIP “-Podcasts an.
