Kategorie: News

„Eckard, die Russen kommen“ wusste nicht nur Werner, sondern inzwischen auch Microsoft und HPE, zumindest laut eigener Aussage. Wie sinnvoll und vertrauenswürdig Attributierungen sind, soll gar nicht Teil dieses Artikels werden. Vielmehr werden mit einem Blick in die Details der bekanntgewordenen Angriffe allgemeine Lessons Learned für jedermann abgeleitet.

„Gewachsene Strukturen“ könnte eine passende Beschreibung für die Hintergründe sein, die zum Erfolg der Angreifer beitrugen: ein Legacy-Benutzer mit schwachem Passwort ohne MFA, eine Test-Anwendung mit erhöhten Rechten in der Infrastruktur und eine scheinbar fehlende Trennung zwischen Testumgebung und Produktions-/Office-Umgebung.

Microsoft beschreibt die unterschiedlichen Angriffstechniken in seinem Blog-Eintrag sehr gut. Initialen Access erlangten die Angreifer mittels Passwort-Spraying. Bei dieser Technik probieren Angreifer eine kleine Anzahl an beliebten oder bekannten Passwörtern gegen möglichst viele Accounts aus. Auch Microsoft scheint nicht gegen Legacy-Accounts mit einfachem Passwort und ohne MFA gefeit zu sein.

Mancher mag es schon gar nicht mehr hören, aber es bewahrheitet sich immer wieder, dass die „leidigen“ Basics in der IT-Sicherheit viel zum Schutz beitragen: globale Passwortrichtlinien, erzwungene MFA für Online-Portale (externe und eigene) und eine (Rechte-)Trennung von Testumgebungen zum Office-Netzwerk bzw. dem Produktionsnetz.

Eine Überprüfung der eigenen M365-Accounts auf illegitime Zugriffe und ungewöhnliche OAuth-Apps sollte im Rahmen einer proaktiven Sicherheitspolitik vorsichtshalber durchgeführt werden.

Interessierte finden weiteres Lesematerial hier:

https://www.microsoft.com/en-us/security/blog/2024/01/25/midnight-blizzard-guidance-for-responders-on-nation-state-attack

https://www.sec.gov/Archives/edgar/data/1645590/000164559024000009/hpe-20240119.htm

Es ist schon wieder passiert: Bereits letzten Monat haben wir über einen erfolgreichen Angriff durch die TU Berlin auf den Steuerungsrechner eines Teslas berichtet. Nun fand vom 24. bis 26. Januar der beliebte Pwn2Own-Wettbewerb statt, der seinen Fokus erstmalig auf Automobile legte. Das Ergebnis ist beeindruckend: Insgesamt wurden 49 Zero-Days entdeckt, was zu einer Ausschüttung von 1.323.750 US-Dollar an Preisgeldern führte.

Mit dem Einzug klassischer Informationstechnologie ins Infotainment übertragen sich auch dessen Herausforderungen in der Sicherheit. Zeitgleich ist eine Trennung der IT von der operationellen Technologie mit der Safety des Fahrzeugs essenziell. Diese Trennung aus IT und OT als Hürde für Angreifer bildet auch in klassischen Produktionsbetrieben eine wichtige Schutzmaßnahme. Die Automobilbranche kann etwas von diesen Unternehmen lernen und sich weiter für Sicherheitsforschung öffnen, um Risiken besser minimieren zu können. Mit einem Mangel an externer Kontrolle ging häufig auch ein Mangel an Sicherheit einher. Hersteller profitieren von solchen Wettbewerben enorm. Die gefundenen Sicherheitslücken bleiben für 90 Tage vertraulich und können in der Zwischenzeit behoben werden.

Für Interessierte, die mehr über einen der Angriffsvektoren erfahren möchten, empfehlen wir den dritten Link, in dem die Synacktiv-Gruppe grob über ihre verwendete Exploit-Chain spricht.

https://www.heise.de/news/Hacking-Wettbewerb-Pwn2Own-Teilnehmer-kombinieren-drei-Luecken-und-knacken-Tesla-9609534.html

https://www.golem.de/news/pwn2own-automotive-gewinner-demonstrieren-zwei-neue-tesla-hacks-2401-181630.html

https://www.darkreading.com/ics-ot-security/pwn2own-2024-teslas-hacked-dozens-new-zero-days-evs

Die Vorzüge des Quantencomputings sind weithin bekannt, im Vergleich zu klassischen Rechenmethoden werden erhebliche Leistungssteigerungen versprochen. Bei der Weiterentwicklung liegt deswegen der Fokus häufig genau auf dieser Leistungsfähigkeit. Bisher wurden die Sicherheitsaspekte der Quantencomputing-Plattformen weitgehend vernachlässigt. Angesichts des Aufkommens cloudbasierter Services wird es nun entscheidend, die klassischen Bedrohungsszenarien auf den Bereich des Quantencomputings zu erweitern. Dies führt uns zu unserem Seitenkanal des Monats.

In der verlinkten Studie wurden zeitbasierte Seitenkanal-Angriffe innerhalb des cloudbasierten Quantendienstes von IBM untersucht. Der vorgeschlagene Angriff untergräbt durch Beobachtung des Zeitaufwands für Quantenschaltungen die Vertraulichkeit des ausgeführten Quantenalgorithmus. Die Ergebnisse zeigen, dass es bereits mit nur zehn Messungen möglich ist, den zugrundeliegenden Quantencomputer zu identifizieren, der die Schaltung ausgeführt hat. Darüber hinaus wird bei der Verwendung des weitverbreiteten Grover-Algorithmus die Fähigkeit aufgezeigt, das Quantenorakel mit lediglich 500 Messungen preiszugeben. Die Reconnaissance der angewandten Maschinen ist mit verhältnismäßig einfachem Aufwand möglich.

Die Forscher beenden ihre Veröffentlichung mit einem Aufruf, zeitbasierte Sicherheitslücken in Quantencomputing-Plattformen anzugehen, und liefern Vorschläge für Gegenmaßnahmen zu ihren getesteten Angriffen gleich mit. Obwohl ein flächendeckender Zugang zur Technologie noch in der Zukunft liegt, erachten wir es als äußerst sinnvoll, sich bereits jetzt umfassend mit allen verbundenen Risiken auseinanderzusetzen.

Wer sich genauer in das Paper einlesen möchte, klickt auf den nachfolgenden Link der Cornell-Universität:

https://arxiv.org/abs/2401.01521

Das Fachmedium BleepingComputer hat in einer Untersuchung festgestellt, dass Inhalte von den unterschiedlichsten Scammer-Methoden auch nach händischer Überprüfung durch Meta nicht gelöscht werden. Dass gemeldete und auch nachweislich schädliche Inhalte die automatisierte Überprüfung teilweise überleben, kann man noch verstehen. Wenn jedoch Profile händisch untersucht werden, bei denen man schnell mittels Fotosuche auf den tatsächlichen Nutzer stößt, lässt das an den Fähigkeiten zur Bekämpfung dieser Betrüger zweifeln.

Die Imitation von Internetpersönlichkeiten oder Prominenten bildet trotz der Einführung des „Verified“-Badges ein großes Problem. Viele Nutzer fallen auf die Catfishing-Methoden der Betrüger herein. Ein konkretes Beispiel wird im verlinkten Artikel vorgestellt.

Die Thematik ist auch für Unternehmen relevant. Betrüger können sich zumindest eine Zeit lang als die Social-Media-Präsenz eines Unternehmens ausgeben und so der Reputation schaden. Um sich bestmöglich vor solche Attacken zu schützen, kann man seine Inhalte mit einem Wasserzeichen versehen, das „Verified“-Badge abonnieren und aktiv gegen die Betrüger vorgehen. Neben dem klassischen Melden der Inhalte kann man bei kopierten Inhalten auch eine Urheberrechtsverletzung anzeigen. Bis Meta das Problem für seine Plattformen ausräumen kann, scheint Abschreckung das Mittel der Wahl gegen die Betrüger zu sein.

Hier geht’s zum Bericht auf bleepingcomputer.com:

https://www.bleepingcomputer.com/news/security/meta-wont-remove-fake-instagram-profiles-that-are-clearly-catfishing

Für die spanische Mobilfunktochter von Orange begann das Jahr mit einem Schrecken und für die meisten Kunden landesweit mit einem dreistündigen Internetausfall: Ein Unbefugter hatte sich im Namen von Orange auf der Administrationswebseite des RIPE NCC angemeldet. Das RIPE NCC verwaltet nicht nur die IP-Adressräume von Europa über den Nahen Osten bis nach Zentralasien, sondern bietet auch digitale Zertifikate an, mit denen das Routing im Internet abgesichert werden kann. Genau diese Zertifikate (genauer: Route Origin Authorisations, ROA) hat der Angreifer ändern lassen und damit dafür gesorgt, dass die Router anderer Internetprovider denen von Orange nicht mehr vertrauten.

Da der Angreifer mit Screenshots bei Twitter/X angegeben hat, ist auch bekannt geworden, dass die Ursache für den großen Ausfall mit einem sehr einfachen Passwort („ripeadmin“) zusammenhing und die Administrationswebseite auch keinen zweiten Faktor für so weitreichende Änderungen benötigte. Hier hätten beide Seiten besser agieren können: die Nutzer bei Orange, indem sie auch für externe Dienste sichere Passwörter wählen und die angebotene Zwei-Faktor-Anmeldung aktivieren. Und der Anwendungsanbieter RIPE NCC, der so triviale Passworte abweisen und die Zwei-Faktor-Anmeldung verpflichtend machen sollte.

Tatsächlich sind Vorgaben für Passwörter bei Onlinediensten nicht immer so streng, wie man es von internen Anwendungen kennt. Suood Alroomi und Frank Li vom Georgia Institute of Technology haben letztes Jahr einen großen Scan von 20.000 Webanwendungen durchgeführt und beim Anlegen von Nutzerkonten ausprobiert, wie schwach ein Passwort sein konnte. Ein erschreckendes Ergebnis: Die Hälfte der getesteten Seiten akzeptierte sehr schwache Passwörter wie „123456“ oder „password“. Mit verschiedenen Stichproben haben sie dabei auch gezeigt, dass populäre Seiten häufiger mit strengeren Regeln aufwarteten als solche, die weiter hinten in den Rankings der Top-1-Million liegen.

Aber war nun das triviale Passwort die Ursache für den Ausfall? In diesem Fall hätte der Angreifer nicht viele Versuche beim Raten benötigt. Aber nach den von ihm geposteten Screenshots zu urteilen, brauchte er gar nicht erst zu raten, da scheinbar die Racoon-Malware auf einem System lief und dort unter anderem die RIPE-Zugangsdaten abgegriffen wurden.

Wie sieht es bei Ihnen aus? Gibt es eine Übersicht über alle Zugangsdaten für externe Dienste – vom Social-Media-Account über Dienstleister-Weboberflächen bis zum ELSTER-Steuerkonto? Entsprechen die Passwörter Ihren Anforderungen und sind sie sicher abgelegt? In Pentests finden wir gelegentlich immer noch gemeinsam gepflegte Excel-Tabellen mit solchen Zugangsdaten.

Mehr Details zum Orange-Ausfall: https://doublepulsar.com/how-50-of-telco-orange-spains-traffic-got-hijacked-a-weak-password-d7cde085b0c5

Der wissenschaftliche Artikel zur Verbreitung von Passwort-Vorgaben: https://dl.acm.org/doi/abs/10.1145/3576915.3623156

Falls das Jahr es bei Ihnen noch ruhig angehen lässt, hätte ich noch einen längeren Lesetipp. Schon im November veröffentlichte Andy Greenberg einen sehr ausführlichen Artikel über die Anfänge und das Ende des Mirai-Botnetzes. Sie erinnern sich vermutlich an das damals größte Botnetz, das zwar hauptsächlich aus leistungsschwachen Webcams bestand, aber durch die schiere Masse an Geräten ganze Internetprovider per DDoS überlasten konnte.

Der Artikel geht auf die technischen Aspekte nur so weit wie notwendig ein und konzentriert sich eher auf die Entstehungsgeschichte und die spätere Entdeckung und Läuterung der Verursacher. Mit vielen Emotionen und einer Art Happy End ist es auch eine (verspätete) kleine Weihnachtsgeschichte.

Ein weiterer spannender Aspekt der Geschichte: Die Macher des Botnetzes wollten zwischenzeitlich einen legitimen DDoS-Verteidigungsdienst aufbauen – und als dieser nicht so erfolgreich war, selbst per DDoS die Kunden zu sich treiben. Dieser Versuch war ebenfalls nicht von Erfolg gekrönt, so dass sie schlussendlich doch wieder zum reinen Verkaufen von offensiven Angriffen zurückkehrten.

https://www.wired.com/story/mirai-untold-story-three-young-hackers-web-killing-monster/