Liebe Leserin, lieber Leser,

der April-Digest wird Ihnen von einem dreiköpfigen Autorenteam präsentiert – neben mir (Yannik Meinhardt) haben Holger von Rhein und Jens Ohlig die bemerkenswertesten Ereignisse aus der Welt der Informationssicherheit des letzten Monats zusammengestellt. Holger berät und auditiert Kunden im Bereich Netzwerk/System-Security sowie zum Einsatz von Kryptografie. Jens arbeitet als Krisenmanager in der Incident Response. Zuvor informierte er als Fachredakteur beim Tagesspiegel über Cybersecurity-Themen.

Der März offenbarte uns einige spannende, hollywoodreife Stories: Die Geschichte der Backdoor im Kompressionstool xz wirkte wie ein Actionfilm. Das Fehlverhalten von Microsoft könnte in einer investigativen Dokumentation thematisiert werden, die zeigt, welche Fehler vermieden werden sollten, um ein Unternehmen sicher zu betreiben. Halten Sie Ihr Popcorn bereit - das sind unsere Themen für den April:

• Die Backdoor, die das Internet bedrohte
• CISA-Bericht belegt fehlende Sicherheitskultur bei Microsoft
• NIS2 kommt – unser NIS2-Kompass ist da
• Wie lang sollte ein RSA-Schlüssel sein?
• Ransomware: Steigende Gefahr oder Abwärtstrend?
• Seitenkanal des Monats: Off-Path TCP Hijacking über Paketgrößen

Wir wünschen Ihnen viel Spaß beim Lesen – Ihr Feedback ist wie immer herzlich willkommen!

Mit besten Grüßen
Holger von Rhein, Jens Ohlig und Yannik Meinhardt

Die Backdoor, die das Internet bedrohte

Am 28. März 2024 konnte ein Kollaps in der Open Source-Infrastruktur, verursacht durch eine Backdoor in der weitverbreiteten Kompressionssoftware xz, verhindert werden. Zu danken ist dies der Aufmerksamkeit von Andres Freund, einem Entwickler von PostgreSQL und Principal Software Engineer bei Microsoft. 

Freund bemerkte ungewöhnliche Verzögerungen bei der SSH-Anmeldung, die ihn schließlich zu einer intensiven Fehlersuche und Analyse der Software-Abhängigkeiten seines Systems führten. Seine Untersuchungen deckten eine Backdoor in der Bibliothek liblzma auf, einem Bestandteil des Kompressionstools xz, die auf Änderungen im Build-Prozess durch den GitHub-Account „Jia Tan“ zurückzuführen war.

„Jia Tan“, der seit Anfang 2021 etwa 700 Änderungen am xz-Quellcode vorgenommen hatte, war ebenfalls in die Entwicklung anderer kritischer Open-Source-Projekte involviert. Diese Entdeckung veranschaulicht nicht nur die Bedeutung von gründlichen Überprüfungen in der Open-Source-Softwareentwicklung, um die Sicherheit und Integrität zu gewährleisten, sondern auch die Rolle, die erfolgreiches Social-Engineering in Angriffen spielen kann.

In unserem Research-Blog ist ein detaillierter Deep Dive zu den Hintergründen des Angriffs und der Funktionsweise der Backdoor durch unsere Kollegen Folker Schmidt und Justus Tartz erschienen: https://research.hisolutions.com/2024/04/xz-backdoor-eine-aufarbeitung/

Aktuelle Version der Cyber-Sicherheitswarnung des BSI: https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2024/2024-223608-1032.pdf?__blob=publicationFile

CISA-Bericht belegt fehlende Sicherheitskultur bei Microsoft

Bereits im Februar-Digest hatten wir über den Angriff Midnight Blizzards und die damit einhergehenden Verfehlungen Microsofts berichtet. In der Zwischenzeit hat sich die Lage noch weiter verschärft, nachdem bekannt wurde, dass ein im Angriff gestohlener Schlüssel dazu berechtigte, in vielen Cloud-Diensten Microsofts Zugangstoken für Benutzerkonten anlegen zu können. Dieser Master-Key ist zwar nun gesperrt – es bestand zeitweise jedoch die Möglichkeit des Anlegens von Hintertür-Accounts in Cloud- und teilweise auch OnPrem-Applikationen des Anbieters.

Ein Review Board der US-amerikanischen Cybersecurity and Infrastructure Security Agency (CISA), dem Pendant des deutschen BSI, hat den Vorfall nun noch einmal genauer unter die Lupe genommen und Microsofts Fehler in Form eines Berichtes aufbereitet.

Der Bericht wirft Microsoft vielfaches Versagen bei der Cybersicherheit vor und betont, dass der Technologieriese den Angriff nicht selbst entdeckt hat, sondern erst durch einen Kunden darauf aufmerksam gemacht wurde. Der Bericht untergräbt weiter das Vertrauen in Microsofts Sicherheitskultur durch das Aufdecken falscher Behauptungen bezüglich der Ursachenfindung des Vorfalls und fordert das Unternehmen auf, eine kulturelle Veränderung hin zu mehr Sicherheit, Verantwortlichkeit und Transparenz voranzutreiben.

Unser Digest vom Februar: https://www.hisolutions.com/detail/digest-februar-2024

Bericht der CISA: https://www.cisa.gov/resources-tools/resources/cyber-safety-review-board-releases-report-microsoft-online-exchange-incident-summer-2023

NIS2 kommt. Unser Kompass zeigt, ob und wie Sie aktiv werden müssen. 

Die europäische NIS2-Richtlinie soll die Informations- und Netzwerksicherheit in allen Mitgliedsstaaten einheitlich regulieren. Die Details der Umsetzung in deutsches Recht werden aktuell ausgearbeitet (NIS2UmsuCG) – und mit dem stark erweiterten Geltungsbereich werden ca. 29.000 Unternehmen und Organisationen neu davon betroffen.

Mit dem NIS2-Kompass von HiSolutions können Sie schnell und kostenfrei prüfen, ob Sie von NIS2 betroffen sind. Dazu erfahren Sie, welche Anforderungen und Pflichten auf Sie zukommen werden, und welche Maßnahmen Sie vielleicht jetzt schon ergreifen sollten. 
 
Zur Selbstauskunft mit dem NIS2-Kompass: https://www.hisolutions.com/security-consulting/cybersecurity/nis2

Unsere Expertinnen und Experten im Bereich Regulatorik beraten Sie gerne zu NIS2 und begleiten Ihre Organisation bei der praktischen Umsetzung der erforderlichen Maßnahmen.

Wie lang sollte ein RSA-Schlüssel sein?

Zu dieser Frage herrscht Uneinigkeit in unserer Branche. Das BSI benennt als Anforderung, dass bei TLS-Verbindungen eine RSA-Schlüssellänge von mindestens 3.000 Bits verwendet werden sollte. Die US-Standardisierungsbehörde NIST gibt an, dass RSA-Schlüssellängen mit 2.048 Bit noch bis 2030 als ausreichend sicher gelten.

Wichtig in dieser Diskussion ist, den Anwendungsfall von RSA im TLS-Verfahren zu berücksichtigen. Es wird verwendet, um die Authentizität des Servers gegenüber dem Client zu bestätigen – und im Fall von mTLS auch die des Clients gegenüber dem Server. Obwohl mittels RSA keine Inhalte verschlüsselt werden und ein mögliches Brechen eines RSA-Schlüssels in der Zukunft keine Auswirkungen auf bereits aufgezeichneten verschlüsselten Verkehr hätte (die Anwendung von Perfect-Forward-Secrecy vorausgesetzt), muss die Sicherheit des Signaturverfahrens für die Verwendungsdauer des Schlüssels gewährleistet sein: üblicherweise ein Jahr bei öffentlichen Client/Server-Zertifikaten, ca. 3-5 Jahre bei internen Client/Server-Zertifikaten oder ca. 20-30 Jahre bei CA-Zertifikaten.

Ein Wechsel zu einem Zertifikat mit einem längeren Schlüssel hat nicht nur formale, sondern auch praktische Auswirkungen auf die Leistung des Servers, da mit der Schlüssellänge auch die benötigte Rechenzeit für die Signaturerstellung steigt. Webserver, die viele Verbindungsaufbauten gleichzeitig bedienen, müssen bei einem längeren Schlüssel bei jedem Verbindungsaufbau die aufwendigeren Signaturen erstellen und ggf. Signaturprüfungen durchführen, was zu einer höheren Belastung führen kann. Damit steigt auch das Risiko für DDoS-Attacken bei längeren Schlüsseln.

Dieser Diskurs wirkt auf uns jedoch wenig zielführend. Die Schlüssellänge bei RSA ist ein reiner Wettlauf gegen die Zeit, da klassische Computer immer leistungsstärker werden. Und spätestens mit dem Erscheinen eines kryptografisch relevanten Quantencomputers hat sich das Thema RSA erledigt, da für diesen das Ermitteln des geheimen Schlüssels auf Basis des öffentlichen Schlüssels kein schweres Problem mehr darstellt. Auch wenn elliptische Kurven (ECC) noch zur klassischen asymmetrischen Kryptografie zählen, sollten diese anstelle des RSA-Verfahrens eingesetzt werden, da sie mit geringeren Schlüssellängen auskommen und eine bessere Gesamtperformance bieten. Oder besser, man geht den Weg, den auch die Messenger-App Signal eingeschlagen hat, mit einer Komposition aus ECC und einem PQC-Kandidaten, um gegen kryptografisch relevante Quantencomputer gewappnet zu sein.

Meldung auf heise online: https://www.heise.de/news/Microsoft-RSA-Schluessellaengen-von-2048-Bit-reichen-fuer-TLS-Zertifikate-9657480.html

Wissenschaftliches Paper zum Vergleich von RSA und ECC: https://www.researchgate.net/publication/322558426_RSA_and_ECC_A_comparative_analysis

Blogpost von Signal zu deren PQC-Strategie: https://signal.org/blog/pqxdh/

Ransomware: Steigende Gefahr oder Abwärtstrend?

Steigt die Bedrohung durch Ransomware – oder nimmt sie ab? Das Portal The Hacker News [1] meldet jedenfalls einen Rückgang und analysiert die Gründe für die wahrgenommene Veränderung in der Ransomware-Landschaft. Während die Zahlen im vierten Quartal 2023 mit 1.309 Fällen in die Höhe geschnellt seien, sei die Anzahl der Ransomware-Angriffe im ersten Quartal 2024 auf 1.048 Fälle zurückgegangen. Dies entspräche einem Rückgang um 22 % im Vergleich zum vierten Quartal 2023.

Als Grund für diesen Rückgang werden Erfolge der Strafverfolgungsbehörden im Jahr 2024 mit Maßnahmen gegen LockBit und ALPHV aufgeführt. So gelang in einer internationalen Polizeioperation die Verhaftung von mindestens drei Mitgliedern des berüchtigten LockBit-Ransomware-Syndikats in Polen und der Ukraine.

Ebenso gab die US-amerikanische Bundespolizei FBI im Dezember einen Fahndungserfolg gegen die Ransomware-Gruppe ALPHV/BlackCat bekannt, bei der auch Teile der Infrastruktur der Bande konfisziert werden konnten. Im ersten Quartal 2024 sei ALPHV für 51 Ransomware-Angriffe verantwortlich gewesen, ein deutlicher Rückgang gegenüber den 109 Angriffen im vierten Quartal 2023. Auch wenn die Gruppe im Jahr 2024 immer noch aktiv sei, habe die teilweise Zerschlagung durch das FBI eindeutig einen erheblichen Einfluss gehabt.

Zusätzlich seien immer weniger von einem Angriff betroffene Unternehmen und Organisationen zur Zahlung von Lösegeld bereit: Im letzten Quartal 2023 sei der Anteil der Ransomware-Opfer, die den Lösegeldforderungen nachkamen, auf einen historischen Tiefstand von 29 % gesunken, zitiert The Hacker News das Ransomware-Verhandlungsunternehmen Coveware.

Ganz anders schätzt hingegen Check-Point-Research (CPR) die Lage bei der Ransomware-Bedrohung ein [2]: Zwar seien in der DACH-Region Cyber-Attacken im Vergleich zum ersten Quartal 2023 deutlich zurückgegangen (-17 %), gleichzeitig habe jedoch die Verbreitung von Ransomware in Europa im Jahresvergleich von allen Regionen am stärksten zugenommen (64 %). Die meiste Ransomware in absoluten Zahlen verzeichnete laut CPR jedoch weiterhin Nordamerika, wo 59 % von fast 1.000 Ransomware-Angriffen stattfänden. Dabei bezieht sich Check-Point-Research auf die Auswertung von Daten auf Ransomware-Shame-Sites, die von Erpressergruppen betrieben werden, und die Namen und Informationen der Opfer veröffentlichen.

Trotz der hochdynamischen Lage bei Ransomware-Bedrohungen, bei der sich unterschiedliche Analysen auf entgegengesetzte Richtungen festlegen, bleibt eine Konstante: Die Zahlung von Lösegeld lohnt sich nicht. Darauf weisen auch aktuelle Studien von Cybereason und Arctic Wolf [3] zur Ransomware-Branche hin. Demnach erhielten nach der Bezahlung nur 32 % der Betroffenen ihre Daten unbeschädigt zurück. Und selbst in diesem Fall „gibt es keine Garantie, dass die Angreifer Ihre Daten nicht auf dem Schwarzmarkt verkaufen, dass Sie Ihre Dateien und Systeme vollständig zurückerhalten oder dass Sie nicht erneut angegriffen werden“, so Greg Day, Global Field CISO (VP) bei Cybereason.

Zu den genannten Artikeln:
[1] https://thehackernews.com/2024/04/the-drop-in-ransomware-attacks-in-2024.html
[2] https://www.infopoint-security.de/check-point-analyse-mehr-ransomware-in-q1-2024/a37019/
[3] https://www.security-insider.de/loesegeldzahlung-lohnt-sich-nicht-a-c5bb6ba3035ecca7f0b5063d403cfa0a/

Seitenkanal des Monats: Off-Path TCP Hijacking über Paketgrößen

In dem verlinkten Paper wird ein interessanter Seitenkanal in Wi-Fi-Netzwerken aufgedeckt. Es geht um die beobachtbare Rahmengröße von TCP-Paketen, die von Angreifern ausgenutzt werden kann, um TCP-Hijacking-Angriffe durchzuführen. Trotz der Implementierung verschiedener Sicherheitsmechanismen wie WEP und WPA2/WPA3, um Wi-Fi-Netzwerke zu schützen, zeigt die Studie, dass ein Angreifer ausreichend Informationen aus dem Seitenkanal extrahieren kann, um die TCP-Verbindung eines Opfers übernehmen zu können.

Die Angriffsmethode basiert auf zwei wichtigen Erkenntnissen: Erstens variieren die unterschiedlichen Typen von Antwortpaketen wie ACK und RST, die von TCP-Empfängern generiert werden, in ihrer Größe. Zweitens haben die verschlüsselten Rahmen, die diese Antwortpakete enthalten, konsistente und nach Typ unterscheidbare Größen. Durch Beobachtung der Größe der verschlüsselten Rahmen kann der Angreifer den Status bzw. die korrekte Sequenznummer der TCP-Verbindung des Opfers erkennen und in der Folge die Verbindung entweder terminieren oder arbiträre Daten einspeisen.

Die Wirksamkeit dieses Seitenkanal-Angriffs wird durch zwei Fallstudien bestätigt: Ein SSH-DoS und die Manipulation von Web-Traffic. Zudem werden umfangreiche Messungen durchgeführt, um die Auswirkungen des Angriffs auf reale Wi-Fi-Netzwerke zu bewerten. Dabei werden 30 beliebte drahtlose Router von neun bekannten Herstellern getestet. Keiner dieser Router kann Opfer vor dem Angriff schützen. Außerdem werden der Angriff in realen Wi-Fi-Netzwerken implementiert und die TCP-Verbindungen der Opfer in 69 der 80 evaluierten Wi-Fi-Netzwerke erfolgreich übernommen (86 %).

Die Schwachstelle wurde verantwortungsbewusst der Wi-Fi Alliance gemeldet, ebenso wurden mehrere Maßnahmen vorgeschlagen, um das Problem auf Protokoll-Ebene anzugehen. Als Anwender muss man mit dieser Möglichkeit umgehen, indem man den Zugang zu seinen WiFi-Netzwerken über bspw. starke Passwörter oder MAC-Filtering reguliert.

Zum Paper in voller Länge: https://arxiv.org/abs/2402.12716

Awareness-Webinar: Benötigt man eine Cyberversicherung? – 24.04.2024 16:00-17:00 Uhr | remote

on großen, prominenten Cyberangriffen oder weltweiten Hacks mit Hilfe von Ransomware fühlen sich nicht alle Unternehmen - auch unterschiedlicher Unternehmensgrößen - gleichermaßen bedroht. Angriffe können in der Folge großen Schaden anrichten und machen eben nicht vor Unternehmensgrößen halt. Im Übrigen richtet sich eine Attacke nicht immer gezielt gegen das jeweilige Unternehmen. In unserem it´s.BB-Awareness greifen wir wichtige Fragen zu Cyberversicherungen auf. Dies betrifft nicht nur Fragen einer möglichen Regulierung im Schadensfall, sondern auch die Sensibilisierung auf relevante Fragestellungen im eigenen Unternehmen bei der Prüfung und dem möglichen Abschluss einer Versicherung.

Welche Reaktionen sowie Abläufe im Schadensfall möglich sind und warum auch die Wiederherstellung und Betriebsfähigkeit eine sehr relevante Betrachtungsgröße darstellen, werden wir im zweiten Teil des Programms erläutern.

https://www.itsbb.net/veranstaltungen/its-bb-webinar-24-april-2024/

Business Continuity Manager mit TÜV-Rheinland-geprüfter Qualifikation – 13.-17.05.2024 | remote

Nach dem Prinzip „Learning by doing“ wenden die Teilnehmer im Rahmen von Workshops die Mittel und Methoden des BCM anhand von Fallbeispielen selbst an. Die jeweiligen Kerninhalte des Tages werden in Einzel- oder Gruppenarbeit erprobt.

Die angehenden Business Continuity Manager lernen die BCM-relevanten Standards und ihre Komponenten, BCM-relevante Gesetze und Good Practice Guides kennen. Sie erhalten einen umfassenden Einblick in den BCM-Lebenszyklus inklusive Business-Impact- und Risikoanalyse, Strategie und Maßnahmen, Tests und Übungen, Pflege und Qualitätssicherung. Gleichzeitig lernen die Teilnehmer die BCM-Organisation, ihre Rollen und Schnittstellen kennen. Darüber hinaus erlangen sie Grundlagenkenntnisse zu Business Continuity-relevanten Themenfeldern wie IT-Service Continuity Management, ISMS und Notfallmanagement. 

https://www.hisolutions.com/security-consulting/academy#c4868

Der nächste HiSolutions Cybersecurity Digest erscheint Mitte Mai 2024.

Jetzt abonnieren!

Lesen Sie hier auch alle HiSolutions Cybersecurity Digests der letzten Monate.

Kontaktieren Sie uns gern mit Rückfragen und Anregungen!