Angreifer, die sich in Microsoft Teams als IT-Support ausgaben, verschafften sich über vom Nutzer genehmigte Fernsitzungen Zugang zu Authentifizierungssystemen von Unternehmen. Dies geschah in zwei Angriffen, die Microsoft Threat Intelligence untersucht hat. Der Bericht vom 30. Oktober beschreibt, wie unsichere Zertifikatskonfigurationen die Angriffe ermöglichten. Einer der Angriffe führte trotz automatischer Eindämmung zu Datendiebstahl.
Die Erkenntnisse betreffen Organisationen, die Active Directory Certificate Services (AD CS) einsetzen, Microsofts Infrastruktur zur Ausstellung digitaler Zertifikate. Getrennte Veröffentlichungen beschreiben Apple-Spyware-Warnungen, die deutsche Abgeordnete und Persönlichkeiten des öffentlichen Lebens erhielten, sowie die Auslieferung eines Kanadiers, dem vorgeworfen wird, Universitätsrechner in den USA gehackt zu haben, um Kryptowährungen zu minen.
Vom Support-Anruf zur privilegierten Authentifizierung
Microsoft untersuchte zwei manuell gesteuerte Angriffe, die mit Teams-Nachrichten und -Anrufen begannen, in denen sich die Angreifer als Helpdesk-Mitarbeiter ausgaben. Die Angreifer überredeten die Nutzer, den Fernzugriff zu genehmigen, vor allem indem sie Schnellhilfe öffneten und einen Verbindungscode weitergaben. Über die gesamte Aktivität hinweg halfen an Organisationen angelehnte Tenant-Namen onmicrosoft.com und supportbezogene Anzeigenamen dabei, dass externe Kontakte vertraut wirkten.
Die Angriffe beruhten auf Social Engineering und unsicheren oder übermäßig freizügigen AD-CS-Einstellungen, nicht auf einer Schwachstelle in Teams. Microsoft hat die Aktivität keinem bestimmten Bedrohungsakteur zugeordnet.
Nach der Übernahme legten die Angreifer ein Archiv im Downloads-Ordner des Nutzers ab, entpackten es in ein neu erstelltes Verzeichnis mit KB-Präfix unter dem Benutzerprofil und starteten Skripte über portable Python-, Bun- oder Java-Laufzeitumgebungen. Bun ist eine JavaScript-Laufzeitumgebung. In einer Variante war die ausführbare Datei umbenannt, behielt aber ihre ursprünglichen Versionsmetadaten. Eine andere Variante nutzte eine portable Java-Laufzeitumgebung, um eine Java-Quelldatei auszuführen.
Die Skripte prüften Windows-Versionen, Netzwerkeinstellungen und laufende Prozesse und bewerteten anschließend die Zertifikatdienste. Die kompromittierte Workstation verband sich außerdem über LDAPS, ein verschlüsseltes Verzeichniszugriffsprotokoll, und SMB, das für die Windows-Dateifreigabe und andere Netzwerkvorgänge genutzt wird, mit der Domäneninfrastruktur.
Die beiden Angriffe verliefen anschließend unterschiedlich:
- Fall 1 nutzte den Missbrauch der ESC1-Zertifikatvorlage. Eine fehlkonfigurierte Vorlage erlaubte einem Anforderer mit niedrigen Berechtigungen, eine andere Identität anzugeben und Authentifizierungszertifikate für privilegierte Konten zu erhalten. Der Angreifer führte DCSync aus, das die Verzeichnisreplikation missbraucht, um Anmeldedaten abzurufen. Laut Microsoft beschränkte die automatische Angriffsunterbrechung von Defender die erfassten Identitäten und blockierte umfangreiche Folgeaktivitäten. Eine privilegierte Identität, die von der Eindämmung ausgenommen war, blieb jedoch nutzbar und unterstützte später den Datenabfluss.
- Fall 2 nutzte ein ESC8-Authentifizierungs-Relay. Der Angreifer nutzte PetitPotam, um einen Domänencontroller zur Authentifizierung gegenüber einem vom Angreifer kontrollierten System zu bewegen. Diese NTLM-Authentifizierung leitete er dann an die AD-CS-Webregistrierung weiter, eine Schnittstelle für Zertifikatsanfragen ohne Relay-Schutz. Der Angreifer erhielt ein Zertifikat für das Konto des Domänencontrollers und nutzte PKINIT, die zertifikatbasierte Kerberos-Authentifizierung. Nachdem Defender ESC8-bezogene Warnungen erzeugt hatte, isolierte der Kunde die zugehörige Workstation. Microsoft beobachtete keine weitere Ausbreitung.
Ein ausgestelltes Authentifizierungszertifikat kann unabhängig vom ursprünglich kompromittierten Passwort weiterhin nutzbar bleiben. Das Zurücksetzen dieses Passworts oder das Neuaufsetzen der ersten Workstation widerruft das Zertifikat nicht und macht bereits ausgestellte Kerberos-Authentifizierungstickets nicht ungültig.
Was Unternehmensverteidiger untersuchen können
Microsoft rät Ermittlern, die Fernsupport-Sitzung mit anschließender Prozess-, Netzwerk-, Identitäts- und Zertifikatsaktivität zu verknüpfen. Ein Dateiname oder das bloße Vorhandensein von Java oder Bun ist ein schwacher Hinweis. Ein stärkeres Muster liegt vor, wenn eine portable Laufzeitumgebung unmittelbar nach einer nicht autorisierten Fernsitzung Skripte aus einem neu erstellten, vom Nutzer beschreibbaren Verzeichnis ausführt und danach Erkundungsbefehle oder Verbindungen zur Identitätsinfrastruktur folgen.
Die veröffentlichten Hunting-Abfragen verwenden siebentägige Zeitfenster, um nach externen Teams-Chats und verfügbaren Hinweisen auf Identitätsvortäuschung zu suchen. Weitere Abfragen suchen nach Bun oder Java, die .js- oder .java-Dateien aus Verzeichnissen unter AppData\Roaming\KB mit nachfolgenden Ziffern ausführen, sowie nach Verbindungen dieser bereitgestellten Laufzeitumgebungen zu den Ports 80, 445, 636 und 88. Andere Abfragen verknüpfen NTLM-Relay-, Certificate-Services-, PKINIT- und Kerberos-Ticket-Warnungen mit ihren unterstützenden Belegen.
Die Defender-Abdeckung umfasst verdächtige externe Teams-Aktivitäten, Skriptausführung, AD-CS-Enumeration und Zertifikatsanfragen, ESC1- und ESC8-Missbrauch, NTLM-Relay, zertifikatbasierte Kerberos-Authentifizierung und DCSync. Microsoft zufolge hängt die Verfügbarkeit von Warnungen von der Konfiguration und den aktivierten Sensoren ab. Ermittler sollten die verfügbaren Felder prüfen, die Suchen auf legitime Aktivitäten abstimmen und die Ergebnisse korrelieren. Ein einzelner Treffer ist ein Ermittlungsansatz, kein Beweis.
Microsoft hat außerdem drei SHA-256-Dateifingerabdrücke veröffentlicht:
- JavaScript für den initialen Zugriff:
85b6c424117494d3056e88689dbc94c75e9afdb187a339714043aec0da109f17 - Python-Skript für den initialen Zugriff:
f326201269f1ee2f803ae435317507263bb6e0dbfdeb70bd1bb5446e2e46f001 - Python-Skript für den initialen Zugriff:
06c5c14f043aee3bcc5843b5f50909623d5c9a6239a7c1fba9cddad4111469e7
Für Reaktionsteams zeigt der erste Fall die praktische Folge von Ausnahmen bei der Eindämmung: Die automatische Unterbrechung kann den Zugriff eines Angreifers intakt lassen, wenn sich eine kompromittierte privilegierte Identität außerhalb ihres Geltungsbereichs befindet.
Kanadier nach Auslieferung im Uni-Mining-Fall
In einer separaten Mitteilung vom 3. November erklärte die Bundesstaatsanwaltschaft für den Western District of New York, dass Ryan James Roach, 35, aus Saskatchewan am 28. Oktober aus Kanada ausgeliefert worden sei. Roach und Mathiew James Stubbings, 41, aus Ontario sehen sich Vorwürfen wegen eines mutmaßlichen Vorhabens gegenüber, Zugangsdaten zu stehlen und Universitätsrechner für das Mining von Kryptowährungen zu nutzen. Der Zeitraum sei Juni 2016 bis Dezember 2019.
Der Anklageschrift zufolge nahmen die Angeklagten Bildungseinrichtungen mit Supercomputern in New York, Tennessee, North Carolina und Massachusetts ins Visier. Sie sollen Netzwerkschwachstellen erforscht, Schadsoftware eingesetzt, Zugangsdaten gestohlen und an von ihnen kontrollierte Server übertragen haben. Gleichzeitig sollen sie Opfercomputer gezwungen haben, zu ihrem Nutzen Kryptowährungen zu minen.
Staatsanwälte zufolge haben virtuelle private Server in mehreren Ländern, die unter falschen Namen registriert waren, Schadsoftware und Mining-Software verteilt und gestohlene Zugangsdaten gespeichert. Die Angeklagten sollen außerdem kompromittierte Computer eines weiteren Opfers genutzt haben, um ihre Identität zu verschleiern. Danach hätten sie Aufklärung betrieben und ihren Zugriff innerhalb von Netzwerken ausgeweitet. Der Anklageschrift zufolge wurden innerhalb eines Jahres mindestens zehn geschützte Computer beschädigt und Verluste von mindestens 5.000 US-Dollar verursacht, darunter Schäden an einer Hochschule im Westen von New York.
Die Anklagepunkte umfassen die Verschwörung, Informationen von geschützten Computern zu beschaffen und diese zu beschädigen, das Beschaffen von Informationen von geschützten Computern sowie die vorsätzliche Beschädigung geschützter Computer. Die Mitteilung nennt eine Höchststrafe von zehn Jahren Haft und eine Geldstrafe von 250.000 US-Dollar. Beide Angeklagten gelten als unschuldig, solange ihre Schuld nicht bewiesen ist.
Roach wurde zur Anklageverlesung vorgeführt und bis zu einer für den 3. November angesetzten Haftanhörung in Gewahrsam gehalten. Das Auslieferungsverfahren gegen Stubbings lief in Kanada weiter. Dem Fall ging eine Ermittlung des FBI und der Abteilung für Computerkriminalität und geistiges Eigentum des US-Justizministeriums voraus. Das Amt für internationale Angelegenheiten des Ministeriums unterstützte die Festnahme und Auslieferung Roachs.
Deutsche Abgeordnete erhalten Apple-Spyware-Warnungen
Das Bundesamt für Sicherheit in der Informationstechnik, BSI, teilte mit, dass mehrere Bundestagsabgeordnete und andere Persönlichkeiten des öffentlichen Lebens seit dem 29. Oktober Benachrichtigungen von Apple über Bedrohungen erhalten hätten. Die Warnungen betreffen Söldner-Spyware: kommerziell entwickelte Überwachungssoftware, die in der Vergangenheit häufig im Auftrag staatlicher Akteure gegen ausgewählte Personen eingesetzt wurde.
Das BSI erklärt, Apple bezeichne die Benachrichtigungen als äußerst verlässliche Warnungen vor gezielten Angriffen. Sie belegten jedoch nicht, ob ein Angriff erfolgreich war. Die Behörde empfiehlt, davon auszugehen, dass Geräte kompromittiert sein könnten, insbesondere wenn ungewöhnliche Abstürze oder ein schneller Akkuverbrauch aufgefallen sind. Das BSI hatte die Bundestagsabgeordneten in einem Schreiben vom 30. Oktober benachrichtigt und Betroffene gebeten, sich direkt an die Behörde zu wenden.
Spyware dieser Art kann ein Gerät ohne Zutun des Nutzers infizieren, etwa über eine speziell präparierte Nachricht, die nicht geöffnet werden muss. Man spricht dann von einem Zero-Click-Angriff. Pegasus von NSO Group ist ein bekanntes Beispiel für diese Softwarekategorie. Auf einem kompromittierten Gerät können Angreifer auf Nachrichten zugreifen, auch solche in verschlüsselten Messaging-Diensten, sowie auf Anrufe, Kontakte, Kalender und Standort. Zudem können sie Mikrofon und Kamera aktivieren.
Das BSI schreibt, echte Benachrichtigungen erscheinen auf dem iPhone-Sperrbildschirm und in den Einstellungen, kommen per E-Mail an Apple-Account-Adressen und erscheinen nach der Anmeldung oben auf der Kontoseite. Apple fordert Empfänger nicht auf, Links zu folgen, Dateien zu öffnen, Apps oder Profile zu installieren oder Passwörter bzw. Bestätigungscodes preiszugeben. Wer an der Echtheit zweifelt, sollte account.apple.com direkt in einen Browser eingeben.
Empfänger sollten das Betriebssystem sofort aktualisieren, sofern keine forensische Untersuchung geplant ist. Das BSI empfiehlt außerdem, den Lockdown-Modus in Betracht zu ziehen. Er ist unter Einstellungen > Datenschutz & Sicherheit > Lockdown-Modus verfügbar und sollte dann aktiviert und das Gerät neu gestartet werden. Er sollte aktiviert bleiben, auch auf einem Ersatzgerät, und künftige Updates sollten zeitnah installiert werden. Der Modus erschwert neue Angriffe, entfernt aber keine bestehende Infektion. Er schränkt einige Anhänge, Linkvorschauen und FaceTime-Anrufe von unbekannten Personen ein. Normale Anrufe und einfache Textnachrichten funktionieren weiter.
Wer das Kompromittierungsrisiko als hoch einschätzt, sollte erwägen, das Gerät zu ersetzen, die darauf genutzten Konten zurückzusetzen und die Telefonnummer zu ändern. Die weiteren Schritte des BSI sind:
- Ein anderes Gerätepasswort festlegen. Face ID und Touch ID ersetzen es nicht.
- Apple-Account-, E-Mail- und andere Kontopasswörter ändern und, wo noch nicht vorhanden, die Zwei-Faktor-Authentifizierung aktivieren.
- Eine neue vertrauenswürdige Telefonnummer hinzufügen, bevor die alte entfernt wird. Authenticator-Apps sollten für jeden Dienst neu eingerichtet statt vom früheren Gerät übertragen werden.
- Die Registrierungssperre von Signal und die Zwei-Schritt-Verifizierung von WhatsApp mit neuen Zugangsdaten aktivieren. Danach in beiden Diensten sowie im Apple-Account die verknüpften Geräte prüfen und unbekannte Einträge entfernen.
Empfänger der Benachrichtigung werden gebeten, diese an [email protected] zu melden. So kann das BSI das Ausmaß einschätzen und Unterstützung leisten.
