Equifax 2017: Fallanalyse

Der Angreifer sucht eine Tür, die schon offen steht. MITRE beschreibt diese Technik: Eine Schwäche in einem aus dem Internet erreichbaren System wird ausgenutzt, um erstmals Zugang zu einem Netzwerk zu erhalten. Die Schwäche kann ein Softwarefehler, eine vorübergehende Störung oder ein Konfigurationsfehler sein². Die ausgenutzten Anwendungen sind häufig Websites und Webserver².

Bei der Struts-Lücke spricht das CERT-FR von einem «faible niveau de technicité», das für die Ausnutzung nötig sei¹. Die Quellen beschreiben das genaue Format des Angriffs nicht, und dieser Beitrag erfindet es nicht.

Danach richtet sich der Angreifer ein. MITRE beschreibt die Web Shell: ein Skript auf einem erreichbaren Webserver, das als Zugang zum Netzwerk dient und Funktionen zur Ausführung oder eine Befehlszeile auf dem Rechner bieten kann, der den Server hostet³. Ziel ist ein dauerhafter Zugang (bei MITRE die Taktik «Persistence»)³.

Schließlich zieht er die Daten ab. MITRE beschreibt eine Exfiltration über den bereits aufgebauten Command-and-Control-Kanal: Die gestohlenen Daten werden im normalen Kommunikationsfluss kodiert, mit demselben Protokoll⁴.

Der Bildschirm zeigt womöglich nichts Auffälliges. Dann lohnt es sich, Kleinigkeiten zu melden: ungewöhnliche Langsamkeit, eine veränderte Seite, ein Dienst, der ohne Grund neu startet, die Warnung eines Sicherheitswerkzeugs.

Diese Zeichen beweisen für sich allein nichts. Beschäftigte müssen das nicht entscheiden: Sie beschreiben, was sie gesehen haben (Uhrzeit, Anwendung, Verhalten), und überlassen dem Sicherheitsteam die Bewertung.

Der Mechanismus lässt sich in vier Schritten zusammenfassen, jeweils durch die Quellen belegt.

• Die Lücke: ein Fehler in einer Komponente (hier Struts), den der Fix von Apache behebt¹.
• Der Einstieg: die Ausnutzung einer aus dem Internet erreichbaren Anwendung, die Codeausführung aus der Ferne ermöglicht¹².
• Die Einrichtung: eine Web Shell oder ein anderer dauerhafter Zugang³.
• Der Abfluss: Die Daten verlassen das Netzwerk über den Command-and-Control-Kanal⁴.

Auf der Verteidigungsseite nennt MITRE Maßnahmen gegen die Ausnutzung einer erreichbaren Anwendung. Erreichbare Software regelmäßig aktualisieren. Erreichbare Systeme regelmäßig scannen und Verfahren für schnelle Korrekturen vorsehen, wenn eine kritische Lücke entdeckt wird. Erreichbare Server vom übrigen Netzwerk trennen. Den ausgehenden Datenverkehr öffentlicher Server einschränken: Das verhindert die erste Ausnutzung nicht, aber der Angreifer hat es danach schwerer, den kompromittierten Server zu steuern².

Das NCSC erinnert an einen Grundsatz: Alle Systeme enthalten Schwachstellen, und ein wirksames Management zeigt, welche vorhanden sind und wo Updates scheitern⁷.

Apache Struts, März 2017

Am 6. März 2017 veröffentlicht Apache das Bulletin S2-045¹. Am 10. März 2017 gibt das CERT-FR seine Warnung heraus, in der es heißt, die Lücke werde seit der Veröffentlichung aktiv ausgenutzt¹. Die Warnung wird am 10. Mai 2017 geschlossen¹. Zum Datum seiner Warnung, vier Tage nach dem Bulletin, stellt das CERT-FR also die aktive Ausnutzung der Lücke fest¹.

Log4Shell, Dezember 2021

Das CERT-FR veröffentlicht seine erste Warnung zu Log4j am 10. Dezember 2021⁵. Die Bibliothek wird sehr häufig in Java-Projekten und von Herstellern von Standardsoftware eingesetzt⁵. Ein Angreifer kann ohne Authentifizierung Codeausführung aus der Ferne auslösen, zum Beispiel über eine Anmeldeseite, die Fehler protokolliert⁵.

Nach öffentlichen Informationen, die der gemeinsame Hinweis der CISA und ihrer Partner wiedergibt, begann die Ausnutzung von Log4Shell am oder um den 1. Dezember 2021, und öffentlicher Exploit-Code existiert⁶. Das FBI beobachtete Ausnutzungsversuche und massenhafte Scans mit dem Ziel, Software zum Kryptowährungs-Mining und Botnet-Software zu installieren⁶. Der Hinweis fordert zuerst, die betroffenen Ressourcen zu identifizieren: alle Assets erfassen, die die Bibliothek Log4j verwenden, einschließlich Cloud⁶.