HiSolutions Cybersecurity Digest Februar 2024
Willkommen zum Early Egg Hunting
Liebe Leserin, lieber Leser,
in Vertretung von Dr. Jörg Schneider haben wir in dieser und der kommenden Ausgabe die Ehre, Ihnen unseren Digest zu präsentieren. Wir, das sind Yannik Meinhardt und Peter Heinemann, seit einigen Jahren im Incident Response bei HiSolutions tätig.
Der Januar hat uns mit seinen zahlreichen, zum Teil schweren Vorfällen gezeigt, wie Angreifergruppen schon jetzt "egg hunting" betreiben und dabei nicht nur die leichten Verstecke finden.
Die Auswahl fiel uns bei der Fülle an Angeboten im Januar schwer – hier nun unsere Top-Themen des Monats:
- Ivantis VPN-Software von neuen Schwachstellen heimgesucht
- Midnight Blizzard
- Erster Pwn2Own-Automotive-Wettbewerb deckt eine Vielzahl an Zero-Days auf
- Seitenkanal des Monats: Timing Quantum Services
Zusätzlich würden wir Sie gerne noch über weitere nennenswerte News informieren und zum Weiterlesen anregen:
- Italienische Datenschutzbehörde: ChatGPT verstößt gegen EU-Recht
- Nach Entwicklung und Betrieb folgt der Leitfaden zur sicheren Nutzung von KI
- Meta (Ex-Facebook) fühlt sich nicht verpflichtet, Hochstapler aus sozialen Netzwerken zu entfernen
Wir wünschen Ihnen viel Spaß beim Lesen – Ihr Feedback ist wie immer herzlich willkommen!
Mit besten Grüßen
Yannik Meinhardt und Peter Heinemann
https://it-forensik.fiw.hs-wismar.de/index.php/Egg_Hunting
Ivantis VPN-Software von neuen Schwachstellen heimgesucht
Der erste Blick in den Eierkorb führt uns zu Ivanti mit ihrer VPN-Software: Nachdem am 10. Januar durch den Hersteller zwei Sicherheitslücken veröffentlicht wurden, sind nun am 31. Januar zwei weitere Schwachstellen entdeckt worden. Diese werden seit geraumer Zeit aktiv ausgenutzt. Die neuen Lücken sind mit dem Patch der älteren Schwachstellen aufgetaucht und wurden mit den Updates direkt mitgeflickt.
Besonders problematisch ist die Kombination der ersten beiden Schwachstellen. Damit wird es möglich, willkürliche Kommandos auf den Systemen auszuführen. Während die erste Schwachstelle einen Authentication-Bypass in der Webkomponente von Ivanti ICS und Policy Secure ermöglicht, kann man bei der zweiten Schwachstelle eine Command-Injection in den Webkomponenten von Ivanti Connect Secure und Policy Secure vornehmen. Diese Kombination aus Rechteerlangung und Remote Execution ist äußerst problematisch.
Die durch Ivanti zur Verfügung gestellten Updates bieten vorläufige Gegenmaßnahmen für den alten Angriffsvektor sowie gegen die neu gefundenen Lücken. Patchen Sie als Kunde von Ivanti Ihre Produkte so schnell wie möglich!
Mit den weiteren gefundenen Schwachstellen kommen eine Privilege Escalation sowie eine Server Side Request Forgery dazu. Die SSRF-Schwachstelle, die Zugriff auf bestimmte Ressourcen ohne Authentifizierung erlaubt, wird bereits aktiv ausgenutzt. Das BSI erwartet eine steigende Verwendung dieser Sicherheitslücke.
Ausgenutzt werden die Schwachstellen derzeit von verschiedenen Akteuren, darunter die Gruppe UTA0178. Ziele der Angreifer sind häufig Regierungen, Telekommunikationsunternehmen, Verteidigungsunternehmen und Fortune-500-Unternehmen weltweit. Die Entdeckung dieser Vielzahl an Zero-Days, gepaart mit dem beobachteten Verhalten der Angreifer und der Wahl der Zielorganisationen lassen auf Threat-Actors schließen, die über weitreichende Ressourcen und Kenntnisse verfügen.
Eine Prüfung auf eine Kompromittierung ist beim Einsatz der Ivanti-Produkte in allen Fällen notwendig.
Die letzte Meldung auf heise finden Sie hier: https://www.heise.de/news/Ivanti-Neues-ausgenutztesSicherheitsleck-Updates-endlich-verfuegbar-9615184.html
Einen technischen Deep-Dive zu den Schwachstellen finden Sie hier: https://www.mandiant.com/resources/blog/investigating-ivanti-zero-day-exploitation
Midnight Blizzard
„Eckard, die Russen kommen“ wusste nicht nur Werner, sondern inzwischen auch Microsoft und HPE, zumindest laut eigener Aussage. Wie sinnvoll und vertrauenswürdig Attributierungen sind, soll gar nicht Teil dieses Artikels werden. Vielmehr werden mit einem Blick in die Details der bekanntgewordenen Angriffe allgemeine Lessons Learned für jedermann abgeleitet.
„Gewachsene Strukturen“ könnte eine passende Beschreibung für die Hintergründe sein, die zum Erfolg der Angreifer beitrugen: ein Legacy-Benutzer mit schwachem Passwort ohne MFA, eine Test-Anwendung mit erhöhten Rechten in der Infrastruktur und eine scheinbar fehlende Trennung zwischen Testumgebung und Produktions-/Office-Umgebung.
Microsoft beschreibt die unterschiedlichen Angriffstechniken in seinem Blog-Eintrag sehr gut. Initialen Access erlangten die Angreifer mittels Passwort-Spraying. Bei dieser Technik probieren Angreifer eine kleine Anzahl an beliebten oder bekannten Passwörtern gegen möglichst viele Accounts aus. Auch Microsoft scheint nicht gegen Legacy-Accounts mit einfachem Passwort und ohne MFA gefeit zu sein.
Mancher mag es schon gar nicht mehr hören, aber es bewahrheitet sich immer wieder, dass die „leidigen“ Basics in der IT-Sicherheit viel zum Schutz beitragen: globale Passwortrichtlinien, erzwungene MFA für Online-Portale (externe und eigene) und eine (Rechte-)Trennung von Testumgebungen zum Office-Netzwerk bzw. dem Produktionsnetz.
Eine Überprüfung der eigenen M365-Accounts auf illegitime Zugriffe und ungewöhnliche OAuth-Apps sollte im Rahmen einer proaktiven Sicherheitspolitik vorsichtshalber durchgeführt werden.
Interessierte finden weiteres Lesematerial hier:
https://www.sec.gov/Archives/edgar/data/1645590/000164559024000009/hpe-20240119.htm
Erster Pwn2Own-Automotive-Wettbewerb deckt eine Vielzahl an Zero-Days auf
Es ist schon wieder passiert: Bereits letzten Monat haben wir über einen erfolgreichen Angriff durch die TU Berlin auf den Steuerungsrechner eines Teslas berichtet. Nun fand vom 24. bis 26. Januar der beliebte Pwn2Own-Wettbewerb statt, der seinen Fokus erstmalig auf Automobile legte. Das Ergebnis ist beeindruckend: Insgesamt wurden 49 Zero-Days entdeckt, was zu einer Ausschüttung von 1.323.750 US-Dollar an Preisgeldern führte.
Mit dem Einzug klassischer Informationstechnologie ins Infotainment übertragen sich auch dessen Herausforderungen in der Sicherheit. Zeitgleich ist eine Trennung der IT von der operationellen Technologie mit der Safety des Fahrzeugs essenziell. Diese Trennung aus IT und OT als Hürde für Angreifer bildet auch in klassischen Produktionsbetrieben eine wichtige Schutzmaßnahme. Die Automobilbranche kann etwas von diesen Unternehmen lernen und sich weiter für Sicherheitsforschung öffnen, um Risiken besser minimieren zu können. Mit einem Mangel an externer Kontrolle ging häufig auch ein Mangel an Sicherheit einher. Hersteller profitieren von solchen Wettbewerben enorm. Die gefundenen Sicherheitslücken bleiben für 90 Tage vertraulich und können in der Zwischenzeit behoben werden.
Für Interessierte, die mehr über einen der Angriffsvektoren erfahren möchten, empfehlen wir den dritten Link, in dem die Synacktiv-Gruppe grob über ihre verwendete Exploit-Chain spricht.
https://www.darkreading.com/ics-ot-security/pwn2own-2024-teslas-hacked-dozens-new-zero-days-evs
Seitenkanal des Monats: Timing Quantum Services
Die Vorzüge des Quantencomputings sind weithin bekannt, im Vergleich zu klassischen Rechenmethoden werden erhebliche Leistungssteigerungen versprochen. Bei der Weiterentwicklung liegt deswegen der Fokus häufig genau auf dieser Leistungsfähigkeit. Bisher wurden die Sicherheitsaspekte der Quantencomputing-Plattformen weitgehend vernachlässigt. Angesichts des Aufkommens cloudbasierter Services wird es nun entscheidend, die klassischen Bedrohungsszenarien auf den Bereich des Quantencomputings zu erweitern. Dies führt uns zu unserem Seitenkanal des Monats.
In der verlinkten Studie wurden zeitbasierte Seitenkanal-Angriffe innerhalb des cloudbasierten Quantendienstes von IBM untersucht. Der vorgeschlagene Angriff untergräbt durch Beobachtung des Zeitaufwands für Quantenschaltungen die Vertraulichkeit des ausgeführten Quantenalgorithmus. Die Ergebnisse zeigen, dass es bereits mit nur zehn Messungen möglich ist, den zugrundeliegenden Quantencomputer zu identifizieren, der die Schaltung ausgeführt hat. Darüber hinaus wird bei der Verwendung des weitverbreiteten Grover-Algorithmus die Fähigkeit aufgezeigt, das Quantenorakel mit lediglich 500 Messungen preiszugeben. Die Reconnaissance der angewandten Maschinen ist mit verhältnismäßig einfachem Aufwand möglich.
Die Forscher beenden ihre Veröffentlichung mit einem Aufruf, zeitbasierte Sicherheitslücken in Quantencomputing-Plattformen anzugehen, und liefern Vorschläge für Gegenmaßnahmen zu ihren getesteten Angriffen gleich mit. Obwohl ein flächendeckender Zugang zur Technologie noch in der Zukunft liegt, erachten wir es als äußerst sinnvoll, sich bereits jetzt umfassend mit allen verbundenen Risiken auseinanderzusetzen.
Wer sich genauer in das Paper einlesen möchte, klickt auf den nachfolgenden Link der Cornell-Universität: https://arxiv.org/abs/2401.01521
Italienische Datenschutzbehörde: ChatGPT verstößt gegen EU-Recht
Die italienische Datenschutzbehörde hat OpenAI darüber informiert, dass ChatGPT gegen die EU-Datenschutzverordnung GDPR verstoßen hat.
Bereits im April 2023 hatte die Behörde ChatGPT aufgrund illegaler Datensammlung und fehlender Systeme zur Altersüberprüfung vorübergehend gesperrt. Sie stellte fest, dass ChatGPT trotz der Ausrichtung auf Benutzer ab 13 Jahren Minderjährige unangemessenen Antworten aussetzt. OpenAI erklärte damals, die Forderungen der italienischen Datenschutzbehörde bis zum 30. April erfüllt zu haben, weshalb das Verbot des Chatbots aufgehoben wurde.
Nun hat die Behörde nach einer weiteren Untersuchung entschieden, dass ChatGPT gegen die EU-Datenschutzregeln verstoßen hat. Sie bemängelt, dass OpenAI die Benutzer nicht darüber informiert, dass ihre Daten gesammelt werden. Nach der DSGVO benötigt das Unternehmen aber eine Einwilligung zur Verarbeitung der personenbezogenen Daten. Zusätzlich gibt es Vorwürfe bezüglich der Genauigkeit der Verarbeitung. Nun soll ein Sonderausschuss aus Datenschutzbehörden der EU eingerichtet werden, um die Problematik weiter zu untersuchen.
OpenAI selbst hat 30 Tage Zeit, auf die Anschuldigungen zu antworten.
https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9978020#english
https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9870847#english
Nach Entwicklung und Betrieb folgt der Leitfaden zur sicheren Nutzung von KI
Nachdem wir bereits im Dezember letzten Jahres über die Veröffentlichung des Leitfadens zur Entwicklung und zum Betrieb von KI-Systemen berichtet haben, liefert der Kooperationsverbund aus Cybersicherheitsbehörden nach. Das BSI gibt mit seinen Partnerbehörden unter australischer Federführung einen Leitfaden zur sicheren Nutzung von KI-Systemen heraus.
Das Papier gibt einen Überblick über wichtige Bedrohungen und Gegenmaßnahmen, die Anwender ergreifen können.
Die Veröffentlichung reiht sich in die Diskussion um den AI Act ein, bei dem die EU ein europäisches Gesetz schaffen möchte, um Anwendungsfälle von KI in risikobehafteten Bereichen zu regulieren.
Wie auch im vorherigen Leitfaden fällt auf, dass sich die vorgeschlagenen Gegenmaßnahmen stark mit klassischen Anforderungen überschneiden. KI-Systeme bleiben nun mal auch Computer. Wir halten es trotzdem für richtig, mit der Veröffentlichung von Leitfäden die Kenntnisse bei Unternehmen zu verbessern.
https://artificialintelligenceact.eu/de/
Meta (Ex-Facebook) fühlt sich nicht verpflichtet, Hochstapler aussozialen Netzwerken zu entfernen
Das Fachmedium BleepingComputer hat in einer Untersuchung festgestellt, dass Inhalte von den unterschiedlichsten Scammer-Methoden auch nach händischer Überprüfung durch Meta nicht gelöscht werden. Dass gemeldete und auch nachweislich schädliche Inhalte die automatisierte Überprüfung teilweise überleben, kann man noch verstehen. Wenn jedoch Profile händisch untersucht werden, bei denen man schnell mittels Fotosuche auf den tatsächlichen Nutzer stößt, lässt das an den Fähigkeiten zur Bekämpfung dieser Betrüger zweifeln.
Die Imitation von Internetpersönlichkeiten oder Prominenten bildet trotz der Einführung des „Verified“-Badges ein großes Problem. Viele Nutzer fallen auf die Catfishing-Methoden der Betrüger herein. Ein konkretes Beispiel wird im verlinkten Artikel vorgestellt.
Die Thematik ist auch für Unternehmen relevant. Betrüger können sich zumindest eine Zeit lang als die Social-Media-Präsenz eines Unternehmens ausgeben und so der Reputation schaden. Um sich bestmöglich vor solche Attacken zu schützen, kann man seine Inhalte mit einem Wasserzeichen versehen, das „Verified“-Badge abonnieren und aktiv gegen die Betrüger vorgehen. Neben dem klassischen Melden der Inhalte kann man bei kopierten Inhalten auch eine Urheberrechtsverletzung anzeigen. Bis Meta das Problem für seine Plattformen ausräumen kann, scheint Abschreckung das Mittel der Wahl gegen die Betrüger zu sein.
Hier geht’s zum Bericht auf bleepingcomputer.com: https://www.bleepingcomputer.com/news/security/meta-wont-remove-fake-instagram-profiles-that-are-clearly-catfishing/
IBM Lizenz-Schulung: 21.02.2024 – remote
Das Lernziel in dieser Schulung ist, den Teilnehmenden die wichtigsten Vertragsarten von IBM und die darin enthaltenen Verbindungen zu weiteren Policies und Regelungen nahezubringen. Sie werden für vertragliche Pflichten sensibilisiert und sind mit den wesentlichen IBM-Lizenzmetriken bekannt. Außerdem wird der Ablauf eines Audits mit den entsprechenden Rechten und Pflichten in Grundzügen beleuchtet. Abschließend wird zur Überprüfung eine IBM-Lizenzbilanzierung im Rahmen eines Miniprojektes durchgeführt.
https://www.hisolutions.com/security-consulting/academy#c2077
KI – Chancen und Risiken für die Sicherheit bewerten: 20.03.2024 – remote
Der Wunsch, sich von künstlicher Intelligenz bei der Arbeit unterstützen zu lassen, ist groß. Aber was bedeutet das aus der Sicherheitsperspektive? Um entscheiden zu können, ob und wie der Einsatz reglementiert werden kann und sollte, muss man die Chancen und Risiken für die Informationssicherheit kennen. In dieser Schulung werden zuerst die wichtigsten Grundlagen zu aktuellen KI-Verfahren wie maschinelles Lernen (ML) und große Sprachmodelle (LLM) betrachtet. Darauf aufbauend wird auf die aktuellen Sicherheitsauswirkungen beim Einsatz dieser Verfahren in der Praxis eingegangen. Die Themenauswahl orientiert sich an den häufigsten Fragestellungen, die Informationssicherheitsbeauftragte (ISB) an uns herantragen.
https://www.hisolutions.com/security-consulting/academy#c12585
Der nächste HiSolutions Cybersecurity Digest erscheint Mitte März 2024.
Lesen Sie hier auch alle HiSolutions Cybersecurity Digests der letzten Monate.
Kontaktieren Sie uns gern mit Rückfragen und Anregungen!