Exchange-Server mit einer Backdoor versehen
PSW Group zum Microsoft Exchange-Server Hack: Zehntausende Banken, Unternehmen und Behörden müssen jetzt rasch handeln
Exchange Server-Betreiber sollten grundsätzlich von einer Kompromittierung ausgehen
Microsoft schloss zum 3. März 2021 mit einem außerplanmäßigen Sicherheitsupdate vier Schwachstellen in den Microsoft Exchange-Server-Versionen 2010 bis 2019. Zunächst stellte Microsoft die Bedrohung als relativ gering dar. Mittlerweile läuft eine beispiellose Angriffswelle auf ungepatchte Exchange-Instanzen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Alarmstufe Rot ausgerufen.
"Das BSI vergibt nicht leichtfertig ein "Rot" – in diesem Fall war es leider angebracht: Die Schwachstellen in Microsoft Exchange Server werden aktiv ausgenutzt und es besteht höchster Handlungsbedarf. Denn die Schwachstellen sind nicht nur immens weit verbreitet, sondern sie sind auch noch verhältnismäßig leicht auszunutzen. Ransomware, das Sammeln von Informationen oder der Missbrauch von Daten: All dem ist aktuell Tür und Tor geöffnet, denn noch immer sind Tausende von Server ungepatcht", warnt auch Patrycja Schrenk, Geschäftsführerin der PSW Group.
Sie ruft zum raschen Handeln auf: "Unternehmen, Behörden und Institutionen müssen jetzt nicht nur patchen, sondern auch nach Anzeichen für einen Einbruch Ausschau halten. Die für den Hack mutmaßlich verantwortliche Hafnium-Gruppe hat erreichbare Exchange-Server mit einer Backdoor versehen. Es gilt, diese aufzuspüren und unschädlich zu machen. Außerdem stellt sich die Frage, inwieweit die Exchange-Lücke eine meldepflichtige Datenschutzverletzung darstellt", so Patrycja Schrenk.
Zehntausende Unternehmen betroffen
Mit Exchange-Server bietet Microsoft einen Dienst an, mit dem in Netzwerken die E-Mail-Kommunikation gesteuert, die elektronische Kommunikation aber auch auf schädliche Dateien wie Viren geprüft werden kann. Sämtliche eingehenden und ausgehenden E-Mails landen beim entsprechenden Exchange-Server; von dort aus werden sie an die Empfänger verteilt. Wenngleich es Alternativen gibt, setzen weltweit zahlreiche staatliche und privatwirtschaftliche Institutionen auf Microsoft Exchange-Server.
Damit sind aber auch Zehntausende von Unternehmen, Behörden, sogar Banken oder Forschungseinrichtungen von der Sicherheitslücke betroffen: Ihre E-Mails können mitgelesen werden, schlimmstenfalls lassen sich sogar Rechner fernsteuern. Laut Wall Street Journal könnten es mehr als 250.000 Opfer weltweit sein. Die Schätzungen der betroffenen Unternehmen in Deutschland liegen zwischen 60.000 bis hin zu mehreren 100.000. Tatsächlich ausgenommen sind Nutzende der Microsoft-eigenen Cloud-Lösungen.
"Gerade in Deutschland wird vor allem deshalb auf Self-Hosting-Lösungen gesetzt, um die Datenhoheit zu behalten, Vorgaben der DSGVO einzuhalten und damit insgesamt die Sicherheit zu erhöhen. In diesem aktuellen Sicherheitsvorfall darf die Schuld deshalb weder auf die Cloud-müden deutschen Unternehmen noch auf die mutmaßlich verantwortliche Hafnium-Gruppe verteilt werden", meint Patrycja Schrenk und sieht die Verantwortung bei Microsoft: "Microsoft hat sich nach Bekanntwerden der Lücke Anfang Januar nicht sehr darum bemüht, Updates so zu gestalten, dass sie zeitnah eingespielt werden können. Microsoft ließ sich viel zu lange Zeit, die Sicherheitslücke zu veröffentlichen und Patches bereitzustellen. Hinzu kam ein Problem beim Patchen: Nicht allen gelang es, die Schwachstelle wirklich zu schließen. Vielfach konnten die Patches nicht eingespielt werden, da dies mit älteren CUs nicht möglich war. Erst mit dem 09. März ermöglichte Microsoft Patches auch bei veralteten CU-Ständen.", so die IT-Sicherheitsexpertin.
Zusammenfassung: Was ist überhaupt passiert?
Die Sicherheitsfirma Volexity beobachtete bereits am 06. Januar 2021 Angriffe über eine bis dato nicht veröffentlichte Exchange-Schwachstelle. Im Laufe der darauf folgenden Wochen gab es einzelne Angriffe auf ausgesuchte Exchange-Server. Microsoft plante die Veröffentlichung eines Sicherheits-Patches für den 9. März. Jedoch begann am 26. Februar die chinesische Hafnium-Hackergruppe mit Massenscans: Exchange-Server, die verwundbar waren, wurden automatisch mit einer Webshell infiziert. Mit dem 02. März veröffentlichte Microsoft Sicherheitsupdates – und nur wenige Stunden nach Veröffentlichung dieser außerplanmäßigen Updates und der inzwischen vier bekannten Schwachstellen - begann die beispiellose Infektion sämtlicher via Internet erreichbaren ungepatchten Exchange-Server. Das führte dazu, dass Administratoren kaum eine Möglichkeit hatten, zu reagieren.
Die Sicherheitslücke wird nach BSI-Informationen von mindestens 10 verschiedenen APT-Gruppen massenhaft ausgenutzt. Diese Gruppen – mit Ausnahme einer, die mit Kryptomining in Verbindung gebracht wird – werden laut BSI "im Kontext der Informationsbeschaffung gesehen". "Es geht also um Spionage. Hat ein Angreifer Zugriff auf den Exchange-Server einer Organisation, so kann dieser Informationen stehlen und diese beispielsweise für betrügerische E-Mails nutzen", erklärt Schrenk.
Patchen, Aktivitäten scannen und Vorfälle melden
Die IT-Sicherheitsexpertin erklärt, was jetzt zu tun ist: "Unternehmen sollten rasch die Analyse-Tools und Sicherheitsupdates, die von Microsoft bereitgestellt werden, nutzen. Wer derzeit nicht in der Lage ist zu patchen, sollte umgehend betroffene Exchange-Server vom Internet trennen. Nach dem Einspielen der Sicherheitsupdates ist es unabdingbar, die gesamte IT auf verdächtige Aktivitäten zu untersuchen und von diesen Aktivitäten zu befreien." Informationen veröffentlichen regelmäßig das BSI, der CERT-Bund und verschiedene Sicherheitsanbieter auf ihren Websites. Ein regelmäßiger System-Scan ist dabei wichtig, weil immer wieder neue Aktivitäten bekannt werden können. Das Monitoring sollte zudem nicht zu abrupt enden: Durch die installierten Hintertüren können Angriffe auch erst in Monaten stattfinden, wenn sich die erste Aufregung gelegt hat.
"Last but not least muss eine mögliche Meldepflicht geprüft werden. IT-Sicherheitsvorfälle müssen der zuständigen Datenschutzbehörde des Bundeslandes gemeldet werden", erinnert Schrenk und macht auch auf die Meldepflicht nach DSGVO aufmerksam, nach der Meldung binnen 72 Stunden nach Datenschutzverletzung an die zuständige Datenschutzbehörde erfolgen muss. "Zudem sind Betroffene zu benachrichtigen, falls personenbezogene Daten mit hohem Risiko bei einem IT-Vorfall betroffen sind. Unternehmen sollten das Prüf-Skript nutzen, welches von Microsoft zur Verfügung gestellt wurde. Werden im Rahmen dieser Überprüfung kompromittierte Systeme festgestellt, besteht eine Meldepflicht gemäß Artikel 33", so Schrenk.
Zudem unterstützen verschiedene Stellen und Organisationen Unternehmen darin, ihre Exchange-Server abzusichern: Sowohl die Sicherheitsexperten der PSW Group stehen mit Rat und Tat ihren Kunden zur Seite, als auch das BSI, das auf seiner Website regelmäßig über Neuerungen zum Exchange-Server-Hack informiert sowie im Stream Informationen und Hilfestellungen gibt. Auch Net at Work-Mitinhaber und –Gesellschafter Frank Carius sammelt Informationen rund um den Exchange-Server-Hack auf seiner Website und erklärt, wie Systeme abgesichert und Patch-Installationen kontrolliert werden.
"Wichtig ist, schnell zu handeln, denn die Schwachstellen sind weit verbreitet und verhältnismäßig leicht auszunutzen. Niemand weiß, ob Cyberkriminelle sich nicht schon längst in ein System eingeklinkt haben, aber erst in ein paar Wochen aktiv werden, um dann beispielsweise eine Erpressung mit Ransomware zu starten. Exchange Server-Betreiber sollten grundsätzlich von einer Kompromittierung ausgehen und alle notwendigen Schritte gewissenhaft durchführen. Nur so hat die IT-Infrastruktur im Unternehmen die Chance, so schadlos wie noch möglich durch diese IT-Katastrophe zu kommen", so Patrycja Schrenk. (PSW Group: ra)
eingetragen: 18.04.21
Newsletterlauf: 22.07.21
PSW Group: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
