HiSolutions Research

Midnight Blizzard

„Eckard, die Russen kommen“ wusste nicht nur Werner, sondern inzwischen auch Microsoft und HPE, zumindest laut eigener Aussage. Wie sinnvoll und vertrauenswürdig Attributierungen sind, soll gar nicht Teil dieses Artikels werden. Vielmehr werden mit einem Blick in die Details der bekanntgewordenen Angriffe allgemeine Lessons Learned für jedermann abgeleitet.

„Gewachsene Strukturen“ könnte eine passende Beschreibung für die Hintergründe sein, die zum Erfolg der Angreifer beitrugen: ein Legacy-Benutzer mit schwachem Passwort ohne MFA, eine Test-Anwendung mit erhöhten Rechten in der Infrastruktur und eine scheinbar fehlende Trennung zwischen Testumgebung und Produktions-/Office-Umgebung.

Microsoft beschreibt die unterschiedlichen Angriffstechniken in seinem Blog-Eintrag sehr gut. Initialen Access erlangten die Angreifer mittels Passwort-Spraying. Bei dieser Technik probieren Angreifer eine kleine Anzahl an beliebten oder bekannten Passwörtern gegen möglichst viele Accounts aus. Auch Microsoft scheint nicht gegen Legacy-Accounts mit einfachem Passwort und ohne MFA gefeit zu sein.

Mancher mag es schon gar nicht mehr hören, aber es bewahrheitet sich immer wieder, dass die „leidigen“ Basics in der IT-Sicherheit viel zum Schutz beitragen: globale Passwortrichtlinien, erzwungene MFA für Online-Portale (externe und eigene) und eine (Rechte-)Trennung von Testumgebungen zum Office-Netzwerk bzw. dem Produktionsnetz.

Eine Überprüfung der eigenen M365-Accounts auf illegitime Zugriffe und ungewöhnliche OAuth-Apps sollte im Rahmen einer proaktiven Sicherheitspolitik vorsichtshalber durchgeführt werden.

Interessierte finden weiteres Lesematerial hier:

https://www.microsoft.com/en-us/security/blog/2024/01/25/midnight-blizzard-guidance-for-responders-on-nation-state-attack

https://www.sec.gov/Archives/edgar/data/1645590/000164559024000009/hpe-20240119.htm

HiSolutions Research

Erster Pwn2Own-Automotive-Wettbewerb deckt eine Vielzahl an Zero-Days auf

Es ist schon wieder passiert: Bereits letzten Monat haben wir über einen erfolgreichen Angriff durch die TU Berlin auf den Steuerungsrechner eines Teslas berichtet. Nun fand vom 24. bis 26. Januar der beliebte Pwn2Own-Wettbewerb statt, der seinen Fokus erstmalig auf Automobile legte. Das Ergebnis ist beeindruckend: Insgesamt wurden 49 Zero-Days entdeckt, was zu einer Ausschüttung von 1.323.750 US-Dollar an Preisgeldern führte.

Mit dem Einzug klassischer Informationstechnologie ins Infotainment übertragen sich auch dessen Herausforderungen in der Sicherheit. Zeitgleich ist eine Trennung der IT von der operationellen Technologie mit der Safety des Fahrzeugs essenziell. Diese Trennung aus IT und OT als Hürde für Angreifer bildet auch in klassischen Produktionsbetrieben eine wichtige Schutzmaßnahme. Die Automobilbranche kann etwas von diesen Unternehmen lernen und sich weiter für Sicherheitsforschung öffnen, um Risiken besser minimieren zu können. Mit einem Mangel an externer Kontrolle ging häufig auch ein Mangel an Sicherheit einher. Hersteller profitieren von solchen Wettbewerben enorm. Die gefundenen Sicherheitslücken bleiben für 90 Tage vertraulich und können in der Zwischenzeit behoben werden.

Für Interessierte, die mehr über einen der Angriffsvektoren erfahren möchten, empfehlen wir den dritten Link, in dem die Synacktiv-Gruppe grob über ihre verwendete Exploit-Chain spricht.

https://www.heise.de/news/Hacking-Wettbewerb-Pwn2Own-Teilnehmer-kombinieren-drei-Luecken-und-knacken-Tesla-9609534.html

https://www.golem.de/news/pwn2own-automotive-gewinner-demonstrieren-zwei-neue-tesla-hacks-2401-181630.html

https://www.darkreading.com/ics-ot-security/pwn2own-2024-teslas-hacked-dozens-new-zero-days-evs

HiSolutions Research

Seitenkanal des Monats: Timing Quantum Services

Die Vorzüge des Quantencomputings sind weithin bekannt, im Vergleich zu klassischen Rechenmethoden werden erhebliche Leistungssteigerungen versprochen. Bei der Weiterentwicklung liegt deswegen der Fokus häufig genau auf dieser Leistungsfähigkeit. Bisher wurden die Sicherheitsaspekte der Quantencomputing-Plattformen weitgehend vernachlässigt. Angesichts des Aufkommens cloudbasierter Services wird es nun entscheidend, die klassischen Bedrohungsszenarien auf den Bereich des Quantencomputings zu erweitern. Dies führt uns zu unserem Seitenkanal des Monats.

In der verlinkten Studie wurden zeitbasierte Seitenkanal-Angriffe innerhalb des cloudbasierten Quantendienstes von IBM untersucht. Der vorgeschlagene Angriff untergräbt durch Beobachtung des Zeitaufwands für Quantenschaltungen die Vertraulichkeit des ausgeführten Quantenalgorithmus. Die Ergebnisse zeigen, dass es bereits mit nur zehn Messungen möglich ist, den zugrundeliegenden Quantencomputer zu identifizieren, der die Schaltung ausgeführt hat. Darüber hinaus wird bei der Verwendung des weitverbreiteten Grover-Algorithmus die Fähigkeit aufgezeigt, das Quantenorakel mit lediglich 500 Messungen preiszugeben. Die Reconnaissance der angewandten Maschinen ist mit verhältnismäßig einfachem Aufwand möglich.

Die Forscher beenden ihre Veröffentlichung mit einem Aufruf, zeitbasierte Sicherheitslücken in Quantencomputing-Plattformen anzugehen, und liefern Vorschläge für Gegenmaßnahmen zu ihren getesteten Angriffen gleich mit. Obwohl ein flächendeckender Zugang zur Technologie noch in der Zukunft liegt, erachten wir es als äußerst sinnvoll, sich bereits jetzt umfassend mit allen verbundenen Risiken auseinanderzusetzen.

Wer sich genauer in das Paper einlesen möchte, klickt auf den nachfolgenden Link der Cornell-Universität:

https://arxiv.org/abs/2401.01521

HiSolutions Research

Italienische Datenschutzbehörde: ChatGPT verstößt gegen EU-Recht

Die italienische Datenschutzbehörde hat OpenAI darüber informiert, dass ChatGPT gegen die EU-Datenschutzverordnung GDPR verstoßen hat.

Bereits im April 2023 hatte die Behörde ChatGPT aufgrund illegaler Datensammlung und fehlender Systeme zur Altersüberprüfung vorübergehend gesperrt. Sie stellte fest, dass ChatGPT trotz der Ausrichtung auf Benutzer ab 13 Jahren Minderjährige unangemessenen Antworten aussetzt. OpenAI erklärte damals, die Forderungen der italienischen Datenschutzbehörde bis zum 30. April erfüllt zu haben, weshalb das Verbot des Chatbots aufgehoben wurde.

Nun hat die Behörde nach einer weiteren Untersuchung entschieden, dass ChatGPT gegen die EU-Datenschutzregeln verstoßen hat. Sie bemängelt, dass OpenAI die Benutzer nicht darüber informiert, dass ihre Daten gesammelt werden. Nach der DSGVO benötigt das Unternehmen aber eine Einwilligung zur Verarbeitung der personenbezogenen Daten. Zusätzlich gibt es Vorwürfe bezüglich der Genauigkeit der Verarbeitung. Nun soll ein Sonderausschuss aus Datenschutzbehörden der EU eingerichtet werden, um die Problematik weiter zu untersuchen.

OpenAI selbst hat 30 Tage Zeit, auf die Anschuldigungen zu antworten.

https://www.golem.de/news/verstoesse-gegen-dsgvo-italiens-datenschuetzer-gehen-erneut-gegen-chatgpt-vor-2401-181672.html

https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9978020#english

https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9870847#english

HiSolutions Research

Nach Entwicklung und Betrieb folgt der Leitfaden zur sicheren Nutzung von KI

Nachdem wir bereits im Dezember letzten Jahres über die Veröffentlichung des Leitfadens zur Entwicklung und zum Betrieb von KI-Systemen berichtet haben, liefert der Kooperationsverbund aus Cybersicherheitsbehörden nach. Das BSI gibt mit seinen Partnerbehörden unter australischer Federführung einen Leitfaden zur sicheren Nutzung von KI-Systemen heraus.

Das Papier gibt einen Überblick über wichtige Bedrohungen und Gegenmaßnahmen, die Anwender ergreifen können.

Die Veröffentlichung reiht sich in die Diskussion um den AI Act ein, bei dem die EU ein europäisches Gesetz schaffen möchte, um Anwendungsfälle von KI in risikobehafteten Bereichen zu regulieren.

Wie auch im vorherigen Leitfaden fällt auf, dass sich die vorgeschlagenen Gegenmaßnahmen stark mit klassischen Anforderungen überschneiden. KI-Systeme bleiben nun mal auch Computer. Wir halten es trotzdem für richtig, mit der Veröffentlichung von Leitfäden die Kenntnisse bei Unternehmen zu verbessern.

https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Meldungen/Leitfaden_KI-Systeme_230124.html

https://www.cyber.gov.au/resources-business-and-government/governance-and-user-education/governance/engaging-with-artificial-intelligence

https://artificialintelligenceact.eu/de

HiSolutions Research

Meta (Ex-Facebook) fühlt sich nicht verpflichtet, Hochstapler aussozialen Netzwerken zu entfernen

Das Fachmedium BleepingComputer hat in einer Untersuchung festgestellt, dass Inhalte von den unterschiedlichsten Scammer-Methoden auch nach händischer Überprüfung durch Meta nicht gelöscht werden. Dass gemeldete und auch nachweislich schädliche Inhalte die automatisierte Überprüfung teilweise überleben, kann man noch verstehen. Wenn jedoch Profile händisch untersucht werden, bei denen man schnell mittels Fotosuche auf den tatsächlichen Nutzer stößt, lässt das an den Fähigkeiten zur Bekämpfung dieser Betrüger zweifeln.

Die Imitation von Internetpersönlichkeiten oder Prominenten bildet trotz der Einführung des „Verified“-Badges ein großes Problem. Viele Nutzer fallen auf die Catfishing-Methoden der Betrüger herein. Ein konkretes Beispiel wird im verlinkten Artikel vorgestellt.

Die Thematik ist auch für Unternehmen relevant. Betrüger können sich zumindest eine Zeit lang als die Social-Media-Präsenz eines Unternehmens ausgeben und so der Reputation schaden. Um sich bestmöglich vor solche Attacken zu schützen, kann man seine Inhalte mit einem Wasserzeichen versehen, das „Verified“-Badge abonnieren und aktiv gegen die Betrüger vorgehen. Neben dem klassischen Melden der Inhalte kann man bei kopierten Inhalten auch eine Urheberrechtsverletzung anzeigen. Bis Meta das Problem für seine Plattformen ausräumen kann, scheint Abschreckung das Mittel der Wahl gegen die Betrüger zu sein.

Hier geht’s zum Bericht auf bleepingcomputer.com:

https://www.bleepingcomputer.com/news/security/meta-wont-remove-fake-instagram-profiles-that-are-clearly-catfishing

HiSolutions Research

Das Passwort war nicht RIPE genug

Für die spanische Mobilfunktochter von Orange begann das Jahr mit einem Schrecken und für die meisten Kunden landesweit mit einem dreistündigen Internetausfall: Ein Unbefugter hatte sich im Namen von Orange auf der Administrationswebseite des RIPE NCC angemeldet. Das RIPE NCC verwaltet nicht nur die IP-Adressräume von Europa über den Nahen Osten bis nach Zentralasien, sondern bietet auch digitale Zertifikate an, mit denen das Routing im Internet abgesichert werden kann. Genau diese Zertifikate (genauer: Route Origin Authorisations, ROA) hat der Angreifer ändern lassen und damit dafür gesorgt, dass die Router anderer Internetprovider denen von Orange nicht mehr vertrauten.

Da der Angreifer mit Screenshots bei Twitter/X angegeben hat, ist auch bekannt geworden, dass die Ursache für den großen Ausfall mit einem sehr einfachen Passwort („ripeadmin“) zusammenhing und die Administrationswebseite auch keinen zweiten Faktor für so weitreichende Änderungen benötigte. Hier hätten beide Seiten besser agieren können: die Nutzer bei Orange, indem sie auch für externe Dienste sichere Passwörter wählen und die angebotene Zwei-Faktor-Anmeldung aktivieren. Und der Anwendungsanbieter RIPE NCC, der so triviale Passworte abweisen und die Zwei-Faktor-Anmeldung verpflichtend machen sollte.

Tatsächlich sind Vorgaben für Passwörter bei Onlinediensten nicht immer so streng, wie man es von internen Anwendungen kennt. Suood Alroomi und Frank Li vom Georgia Institute of Technology haben letztes Jahr einen großen Scan von 20.000 Webanwendungen durchgeführt und beim Anlegen von Nutzerkonten ausprobiert, wie schwach ein Passwort sein konnte. Ein erschreckendes Ergebnis: Die Hälfte der getesteten Seiten akzeptierte sehr schwache Passwörter wie „123456“ oder „password“. Mit verschiedenen Stichproben haben sie dabei auch gezeigt, dass populäre Seiten häufiger mit strengeren Regeln aufwarteten als solche, die weiter hinten in den Rankings der Top-1-Million liegen.

Aber war nun das triviale Passwort die Ursache für den Ausfall? In diesem Fall hätte der Angreifer nicht viele Versuche beim Raten benötigt. Aber nach den von ihm geposteten Screenshots zu urteilen, brauchte er gar nicht erst zu raten, da scheinbar die Racoon-Malware auf einem System lief und dort unter anderem die RIPE-Zugangsdaten abgegriffen wurden.

Wie sieht es bei Ihnen aus? Gibt es eine Übersicht über alle Zugangsdaten für externe Dienste – vom Social-Media-Account über Dienstleister-Weboberflächen bis zum ELSTER-Steuerkonto? Entsprechen die Passwörter Ihren Anforderungen und sind sie sicher abgelegt? In Pentests finden wir gelegentlich immer noch gemeinsam gepflegte Excel-Tabellen mit solchen Zugangsdaten.

Mehr Details zum Orange-Ausfall: https://doublepulsar.com/how-50-of-telco-orange-spains-traffic-got-hijacked-a-weak-password-d7cde085b0c5

Der wissenschaftliche Artikel zur Verbreitung von Passwort-Vorgaben: https://dl.acm.org/doi/abs/10.1145/3576915.3623156

HiSolutions Research

Aufstieg und Niedergang des Mirai-Botnetzes

Falls das Jahr es bei Ihnen noch ruhig angehen lässt, hätte ich noch einen längeren Lesetipp. Schon im November veröffentlichte Andy Greenberg einen sehr ausführlichen Artikel über die Anfänge und das Ende des Mirai-Botnetzes. Sie erinnern sich vermutlich an das damals größte Botnetz, das zwar hauptsächlich aus leistungsschwachen Webcams bestand, aber durch die schiere Masse an Geräten ganze Internetprovider per DDoS überlasten konnte.

Der Artikel geht auf die technischen Aspekte nur so weit wie notwendig ein und konzentriert sich eher auf die Entstehungsgeschichte und die spätere Entdeckung und Läuterung der Verursacher. Mit vielen Emotionen und einer Art Happy End ist es auch eine (verspätete) kleine Weihnachtsgeschichte.

Ein weiterer spannender Aspekt der Geschichte: Die Macher des Botnetzes wollten zwischenzeitlich einen legitimen DDoS-Verteidigungsdienst aufbauen – und als dieser nicht so erfolgreich war, selbst per DDoS die Kunden zu sich treiben. Dieser Versuch war ebenfalls nicht von Erfolg gekrönt, so dass sie schlussendlich doch wieder zum reinen Verkaufen von offensiven Angriffen zurückkehrten.

https://www.wired.com/story/mirai-untold-story-three-young-hackers-web-killing-monster/

HiSolutions Research

Die Umwelt und die Sicherheit

Am Beispiel der Gegenmaßnahmen zu den Prozessorlücken Spectre und Meltdown hat die Forscherin Henriette Hofmeier aufgezeigt, dass sich mit einem gezielten Einsatz von Sicherheitsmaßnahmen auch der Energieverbrauch senken lässt. In diesem Fall deaktivieren die Gegenmaßnahmen Optimierungen und verbrauchen zusätzliche Taktzyklen. Sie werden aber eigentlich nur benötigt, wenn besonders schützenswerte Informationen aktiv verarbeitet werden, beispielsweise die privaten Schlüssel beim Verschlüsseln. Trotzdem werden sie in der Praxis derzeit global für das gesamte System dauerhaft aktiviert. Wie Hofmeier mit Änderungen am Linux-Kernel gezeigt hat, geht das auch anders – dann müssen allerdings die Anwendungen ihren Schutzbedarf auch an den Kernel melden, damit dieser die passenden Maßnahmen an- und ausschalten kann.

Dieses Spannungsfeld existiert auch an vielen anderen Stellen. Ein äußerst plakatives Beispiel bilden signierte Mails, in denen die Signatur in der Regel den eigentlichen Textanteil um ein Vielfaches übersteigt. Aber deshalb gleich alle Sicherheitsmaßnahmen abstellen, ist auch keine Lösung. Eher sollten, wie in Hofmeiers Arbeit gezeigt, die für den Schutzbedarf passenden Maßnahmen zur richtigen Zeit greifen.

https://inf.gi.de/04/wie-viel-energie-darf-schutz-kosten

https://sys.cs.fau.de/publications/2022/hofmeier_22_thesis.pdf

HiSolutions Research

Seitenkanal des Monats: Ein Auto

Diesmal nehmen wir ein größeres Ziel für den Seitenkanal des Monats. Und auch die Richtung des Angriffs ist anders als in den letzten Digests. Heute geht es um ein Auto, genauer einen Tesla und dessen System für das autonome Fahren. Und statt direkt an Daten zu kommen, soll diesmal dem Gerät ein falsches Zertifikat untergejubelt werden. Forscher des Fachgebiets SecT der TU Berlin haben es geschafft, den Steuerungsrechner mit einer manipulierten Firmware zu starten. Eigentlich sollten kryptografische Prüfungen nur das Starten der Hersteller-Firmware erlauben, aber durch Glitchen der Versorgungsspannung konnte das Zertifikat für die Prüfung geändert werden.

Durch die so gestartete Firmware hatten die Forscher vollen Zugriff auf das laufende System und konnten auch Informationen auslesen. Alle Details gibt es im Vortrag der Forscher auf dem 37C3.