- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Wird Bluekeep zu WannaCry 2.0?


Angreifer brauchen nur eine einzige Schwachstelle – auch die bei einem Lieferanten genügt
Einige Wochen nach der Entdeckung von Bluekeep und Bereitstellung des Patches durch Microsoft sind immer noch fast eine Millionen Systeme mit extern exponiertem RDP ungepatcht

- Anzeigen -





Von Patrick Steinmetz, DACH Sales, BitSight

Vor kurzem entdeckte Microsoft die Sicherheitslücke Bluekeep, die die schlimmsten Cyberangriffe seit der berüchtigten Ransomware-Attacke WannaCry aus 2017 ermöglichen könnte. WannaCry konnte sich nur deshalb so weit ausbreiten und solch immense Schäden verursachen, weil Tausende von Systemen nicht gepatcht waren. Microsoft hatte zwar einen Patch bereitgestellt, der vor WannaCry geschützt hätte, aber dieser Patch war bei vielen Systemen nicht aufgespielt worden. So blieben diese Systeme verwundbar.

Mit Bluekeep droht sich die Geschichte zu wiederholen: Einige Wochen nach der Entdeckung von Bluekeep und Bereitstellung des Patches durch Microsoft sind immer noch fast eine Millionen Systeme mit extern exponiertem RDP ungepatcht.

Die als Bluekeep bezeichnete Sicherheitslücke im Remote Desktop Protocol (RDP) birgt ein so großes Gefahrenpotenzial, dass neben Microsoft auch die National Security Agency (NSA) darüber informiert. Microsoft hat mehrere Blogposts darüber veröffentlicht. Die NSA gibt an, dass die terroristische Organisation ISIS nach Wegen sucht, Bluekeep für Cyberangriffe auszunutzen. Das Department of Homeland Security fordert jeden dazu auf, jetzt seine Systeme zu patchen.

Die Gemeinsamkeiten zwischen BlueKeep und WannaCry sind beunruhigend. Beide sind das Ergebnis von RDP Exploits. Beide sind Exploits, die ein Wurm ausnutzen kann, der sich dann automatisch über Systeme hinweg verbreiten würde, ohne dass eine Benutzerauthentifizierung oder -interaktion erforderlich ist.

Wenn trotz des derart hohen Gefahrenpotenzials immer noch Systeme ungepatcht sind, stellt sich die Frage nach den Gründen dafür. Einer könnte sein, dass Unternehmen nicht so gewissenhaft sind wie sie sein sollten, wenn es um die Cybersicherheit ihrer Lieferanten geht. Die Transparenz der Cybersicherheit der Lieferkette – oder das Fehlen dieser Transparenz – ist ein großes Problem, besonders in unserer immer stärker vernetzten Welt.

Durch die Globalisierung arbeiten Unternehmen völlig selbstverständlich mit Anbietern aus der ganzen Welt zusammen, die IT-Sicherheit sehr unterschiedlich handhaben. Wie können sie sicher sein, dass ihre Lieferanten und Partner ihre Systeme routinemäßig patchen, um sicherzustellen, dass sie vor Schwachstellen wie BlueKeep und WannaCry geschützt sind?

Unternehmen könnten ihre Lieferanten einfach fragen, ob sie ihre Sorgfaltspflicht erfüllen und auf gute Cyber-Hygiene achten. Aber wenn die Lieferanten dann mit Ja antworten, wer weiß, ob das wirklich wahr ist? Unternehmen könnten von ihren Lieferanten auch verlangen, dass sie ihre IT-Sicherheit verbessern, aber die Unternehmen brauchen dann immer noch einen Weg, um zu prüfen, dass diese Verbesserungen stattgefunden haben und erfolgreich waren ("vertrauen, aber überprüfen"). Unternehmen könnten Lieferanten auch von ihrem Netzwerk trennen, aber das kann je nach Wichtigkeit des Lieferanten zu enormen Störungen im eigenen Unternehmen führen.

Ein besserer Ansatz ist stattdessen, Transparenz über die Cybersicherheit der Lieferanten zu gewinnen. Diese Unterdisziplin von Supply Chain Risk Management wird auch als Risikomanagement des Lieferanten-Cyberrisikos bezeichnet. Im Zuge dessen werden zuerst mit technischen Lösungen in Echtzeit und automatisiert die Sicherheitsschwachstellen von Lieferanten aufgespürt. Mit diesem Wissen können Unternehmen zweitens bei ihren Lieferanten darauf hinwirken, gezielt Schwachstellen zu beseitigen. Drittens wird mit den oben erwähnten technischen Lösungen dann überprüft, ob die Schwachstellen tatsächlich erfolgreich beseitigt wurden. So gewinnen Unternehmen Daten darüber, welche ihrer Lieferanten es ernst meinen, Cyberrisiken zu senken und dazu beitragen, dass die von ihrer Lieferkette ausgehenden Cyberrisiken sinken.

Ohne eine derartige, datenbasierte Transparenz bleiben Unternehmen über ihre Lieferkette angreifbar. Genau darauf setzen Organisationen wie ISIS und andere Gruppen. Sie wissen, dass manche Unternehmen Themen wie Bluekeep nicht so viel Aufmerksamkeit schenken wie sie sollten. Denn die Angreifer brauchen nur eine einzige passende Schwachstelle, um einen Angriff durchzuführen, der sich rasend schnell ausbreitet.

Derzeit sind bei Unternehmen aus den Branchen Telekommunikation, Bildung und Technologie noch die meisten Systeme ungepatcht und daher verwundbar für Angriffe über Bluekeep. Es könnte schwerwiegende Folgen haben, wenn ein Angreifer unter Ausnutzung von Bluekeep in das Kommunikationsnetz eines Landes eindringen würde.

Unternehmen müssen so viele Schwachstellen wie möglich schließen, um Angreifern keine Gelegenheiten zu bieten. Sie sollten sich nicht zurücklehnen und darauf warten, bis Malware erkannt wird, denn das ist nur eine Frage der Zeit. Unternehmen dürfen auch nicht das Risiko eingehen, ungewollt bei der Finanzierung eines Terroranschlags mitzuwirken, indem sie bösartigen Akteuren erlauben, Zugang zu ihren Konten zu erlangen.

Stattdessen müssen Unternehmen Transparenz in ihre Lieferkette und die davon ausgehenden Cyberrisiken bringen. Sie müssen Schwachstellen bei sich und bei ihren Lieferanten schließen. Dazu brauchen sie Planung und Vorbereitung. Noch existiert so gut wie keine Malware, die Bluekeep ausnutzt, aber das ist nur eine Frage der Zeit. Es ist jetzt Zeit zu handeln, bevor Bluekeep zu WannaCry 2.0 wird. (BitSight: ra)

eingetragen: 11.07.19
Newsletterlauf: 14.08.19

Bitsight: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • DDoS-Angriffe nehmen weiter Fahrt auf

    DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und raffinierter. Darauf machen die IT-Sicherheitsexperten der PSW Group unter Berufung auf den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufmerksam. Demnach gehörten DDoS-Attacken 2017 und 2018 zu den häufigsten beobachteten Sicherheitsvorfällen. Im dritten Quartal 2018 hat sich das durchschnittliche DDoS-Angriffsvolumen im Vergleich zum ersten Quartal mehr als verdoppelt. Durchschnittlich 175 Angriffen pro Tag wurden zwischen Juli und September 2018 gestartet. Die Opfer waren vor allem Service-Provider in Deutschland, in Österreich und in der Schweiz: 87 Prozent aller Provider wurden 2018 angegriffen. Und bereits für das 1. Quartal dieses Jahres registrierte Link11 schon 11.177 DDoS-Angriffe.

  • Fluch und Segen des Darkwebs

    Strengere Gesetzesnormen für Betreiber von Internet-Plattformen, die Straftaten ermöglichen und zugangsbeschränkt sind - das forderte das BMI in einem in Q1 2019 eingebrachten Gesetzesantrag. Was zunächst durchweg positiv klingt, wird vor allem von Seiten der Bundesdatenschützer scharf kritisiert. Denn hinter dieser Forderung verbirgt sich mehr als nur das Verbot von Webseiten, die ein Tummelplatz für illegale Aktivitäten sind. Auch Darkweb-Plattformen, die lediglich unzugänglichen und anonymen Speicherplatz zur Verfügung stellen, unterlägen der Verordnung. Da diese nicht nur von kriminellen Akteuren genutzt werden, sehen Kritiker in dem Gesetzesentwurf einen starken Eingriff in die bürgerlichen Rechte. Aber welche Rolle spielt das Darkweb grundsätzlich? Und wie wird sich das "verborgene Netz" in Zukunft weiterentwickeln? Sivan Nir, Threat Analysis Team Leader bei Skybox Security, äußert sich zu den zwei Gesichtern des Darkwebs und seiner Zukunft.

  • Cyber-Sabotage durch Datenmanipulation

    Cyberkriminelle stehlen nicht nur Daten. Manchmal ist es stattdessen ihr Ziel, Daten bewusst zu manipulieren. Attacken, bei denen externe Angreifer oder böswillige Insider subtile Veränderungen an unternehmenskritischen Daten wie etwa Quellcodes, Finanzdokumenten oder Bauplänen vornehmen, können für Unternehmen genauso verheerend sein wie Diebstahl. Es bedarf oft nur eines Fehlers, beispielsweise durch einen Angriff auf industrielle Steuerungssysteme, um die Produktion von Gütern zu unterbrechen oder zu verzögern und eventuell eine gesamte Lieferkette zu gefährden. Hat das Unternehmen keine adäquate Möglichkeit zu überprüfen, ob wichtige Daten legitim sind, kann dies zudem das Vertrauen im Unternehmen von innen heraus zersetzen.

  • Datenmanipulation auf dem Vormarsch

    Technologie hat die Eigenschaft uns auf Trab zu halten. Und obwohl ständiger Wandel und Innovation aufregend sind, damit wirklich Schritt zu halten kann ein zweischneidiges Schwert sein. Das hat den Datenschutz zur heute vielleicht größten Herausforderung für Unternehmen gemacht. Bei der Sicherheitsplanung für das kommende Jahr gehen wir davon aus, dass einige Probleme vorrangig sein werden.

  • Kontrolle über die Daten gewinnen

    Für Cyberkriminelle sind sensible Unternehmensdaten Gold wert: Gestohlene Kundeninformationen und Account-Logins von Mitarbeitern ermöglichen Betrug und Identitätsdiebstahl; geistiges Eigentum und Geschäftsgeheimnisse lassen sich lukrativ an die Konkurrenz verkaufen. Kontrolle über ihre Daten zu gewinnen, ist in Zeiten massiv wachsender Datenmengen für Unternehmen jeder Größe eine Herausforderung. E-Mails, Kollaborationstools und mobile Geräte verbinden Mitarbeiter, Dienstleister und Geschäftspartner, gewähren zugleich aber Zugang zu Unternehmensnetzwerken, die oft vertrauliche Informationen enthalten. Zudem haben Nutzer häufig höhere Zugriffsrechte, als für ihre Aufgaben erforderlich wäre. Das verschärft das Risiko von Datendiebstahl weiter, sowohl durch externe Angreifer als auch durch Insider-Bedrohungen.