Der Patch ist der Angriff

5.   Angriffsablauf

Insgesamt scheint dieser Hack eine vergleichbar technische Bedeutung zu haben wie der ja heute noch andauernde (!) Hack auf den Deutschen Bundestag ^[12], Stuxnet ^[13] oder NSA. Diese Angriffe zusammen zeigen verwendeten Techniken den Stand der weltweiten Angriffstechnik auf; hier wird nur auf den Solarwinds-Hack Bezug genommen:

A.  Die ersten Hinweise auf unberechtigte Manipulation von Orion-Updates stammen von Oktober 2019 – also ca. 14 Monate vor der Angriffserkennung.

B.  Die ausgenutzten Angriffspunkte der SolarWinds-Systeme sind bisher unveröffentlicht oder sogar noch nicht identifiziert. Einzig mögliche Angriffspunkte sind ungepatchte, unveröffentlichte oder sogar nicht erkannte Sicherheitslücken. Erfahrungsgemäß werden dazu unveröffentlichte (Zero-Day-Vulnerabilities) – zumindest SolarWinds nicht bekannte oder jedenfalls nicht gepatchte Sicherheitslücken – ausgenutzt (Initialisierung des Angriffs: März bis Juni 2020). Solange dieser Einstieg nicht identifiziert und gepatcht ist, können die folgenden Schritte von den Angreifern beliebig wiederholt werden.

C.  Die Angreifer machen sich dieser Sicherheitslücke unabhängig, indem sie (mindestens) eine backdoor im SolarWinds-System installieren Eine solche backdoor ist von SolarWinds nicht veröffentlicht oder nicht identifiziert.

D.  Um das manipulierte Update authentisch erscheinen zu lassen wird das Update korrekt digital signiert ^[16]. Die Code-Signierung ist eine der wichtigsten Sicherheitsmaßnahmen global agierender Softwareunternehmen. Kann die Signatur gefälscht werden, ist überhaupt jedem Missbrauch von Authentifizierung und Integritätsprüfung Tür und Tor geöffnet.

E.   Im Quellcode des Updates wird der bösartige Code verschleiert (obfuscation, steganography); im Betrieb wird die Laufzeit-Umgebung geprüft, ob sie ein Unternehmensnetzwerk ist oder etwa die Workstation eines Analysten. 

F.   Mit einem mit fast 4.000 Codezeilen ^[17] manipulierten Update für die SolarWinds Orion Business Software wurde erstmal eine backdoor ^[18] im Kundensystem (Orion Monitoring Software) installiert. Solange eine backdoor nicht identifiziert und geschlossen ist, können auch die folgenden Angriffsschritte beliebig wiederholt werden.^[19] Dies gilt sinngemäß für die zwischenzeitlich zweite veröffentlichte backdoor ^[20] sowie eventuelle weitere.

Weitere backdoors sind realistisch. Solange nicht alle backdoors identifiziert und gepatcht sind, muss also mit weiteren gleichartigen Angriffen gerechnet werden.

G.  Durch die backdoor wird weiterer – ggf. auch aktualisierter – Code von einem Command&Control-Server eingeschleust oder generell eine (auch ständige) Verbindung zwischen Angreifern und Zielsystem aufgebaut werden. So werden Dateien übertragen, ausgeführt, das System parametrisiert Systemdienste aktiviert und deaktiviert und Computer neugestartet. Das Protokoll ähnelt dem SolarWinds-Protokoll.

Zweckmäßigerweise wird die backdoor in einem der im Zielsystem installierten Solarwinds-Modulen eingebaut. Kennen die Angreifer weitere Software (wie Standardsoftware von Herstellern wie Microsoft) im Zielsystem, kann die backdoor auch dort eingebaut werden. Ein Angriff dauert solange wie die backdoor ausgenutzt werden kann. D.h. Dreh- und Angelpunkt ist die eingebaute backdoor. Angreifer bauen aus Resilienz-Gründen mehrere backdoors ein; nach Identifizierung einer (ersten) backdoor glaubt das Opfer häufig, der Angriff sei abgewehrt und damit beendet. Im Einzelfall wird sogar nach einem ‚Beweis‘ gefragt, warum noch nach weiteren backdoors gesucht werde. 

H.  Natürlich sind weitere Schritte durch die Angreifer möglich wie Kopieren und Löschen von (allen) Daten des Angriffsopfers und Verschlüsseln (Ransomware). Kopieren von Sicherheitsinformationen ist insbesondere relevant, wenn unveröffentlichte Sicherheitslücken gesammelt werden – z.B. für Zwecke der Strafverfolgungsbehörden. Bereits vor Abschluss der Untersuchungen wurde ein solcher Diebstahl von FireEye bestritten.

I.    Nachdem dieser Angriff aufgeflogen ist, vom Hersteller die backdoor identifiziert und mit einem (signierten Patch) geschlossen wurde, kann man davon ausgehen, dass die Angreifer die (geschlossene) backdoor nicht mehr nutzen. Über die Nutzung weiterer backdoors kann nur spekuliert werden.

J.   Zwischen Installation der backdoors und Ausnutzung liegt häufig mehr als ein halbes Jahr – der Zeitraum kann auch bis zu 18 Monate dauern. Entscheidend für diese Dauer ist, dass sich die Angreifer sicher sein wollen, dass das Opfer nichts von Ihrem Angriff bemerkt.

Grundsätzlich kann nicht nachgewiesen werden, dass ein System backdoor-frei ist. Das bedeutet für die erwähnten Hackingfälle wie NSA, Bundestag ein Beweis nicht erbracht werden kann. Und es bedeutet auch nicht, dass die Fälle tatsächlich abgeschlossen sind. Allerdings werden sich die Angreifer sehr vorsichtig bewegen, um keinen Hinweis auf ihre Aktivitäten zu geben.

6.   Schäden und Schadenshöhe

Es kann wegen des Personen-Jahre dauernden Aufwands keine seriöse Schadensbewertung vorgenommen werden. Die offiziellen Abschätzungen dürften geheim bleiben.

Die Angreifer verwendeten auch neuartigen Schadcode, der im milliardenschweren Intrusion Detection System des Department of Homeland Security (DHS) ‚Einstein‘ (noch) nicht gespeichert war.

Eine Bereinigung der bekannt gewordenen Manipulationen wird weit mehr als 6 Monate benötigen erwartet.

Allerdings greifen in dieser Form auch die USA andere Staaten an ^[21].

7.   Schutzmaßnahmen nach Angriffserkennung

Der Hersteller empfiehlt, zeitnah auf die jüngste Orion Platform Version 2020.2.1 HF 1 upzudaten, um die Sicherheit der Umgebung zu gewährleisten. Ob ein einfaches Update der Orion Plattform reicht, um eine Infektion zu beseitigen, darf aber angesichts der komplexen Sachverhalte bezweifelt werden. Wer die kompromittierten Software-Builds im Einsatz hatte, kommt um eine Überprüfung und forensische Analyse der betroffenen Systeme nicht herum. Dazu liegen die Signaturen der beiden veröffentlichten backdoors vor.

Die Identifizierung von backdoors ist leicht, wenn sie wie in diesem Fall zumindest teilweise bekannt sind. Aufwändiger ist die Identifizierung möglichst aller – insbesondere der bisher nicht erkannten bzw. unveröffentlichten backdoors. Letzteres erfordert eine ausgefeilte Methodik. Leichter lassen sich Backdoors identifizieren, die dokumentierte Eingabe- oder Ausgabeschnittstellen missbrauchen.

Der Umfang der Wiederherstellungsmaßnahmen ist abhängig vom Wert der verarbeiteten Daten und gesteuerten Prozesse (Risikoanalyse) und reicht vom einfachen Update der Orion Software bis zur sofortigen Trennung vom Internet, Installation neuer Geräte und Software sowie einer Überprüfung aller gespeicherten Daten; Angriffssoftware kann schließlich überall gespeichert sein – in (Standard-)Software, in Firmware und Microcode von Geräten und Steuerungen und auch in Daten. Erst nach einer erneuten Überprüfung kann dann das System wieder in Betrieb genommen werden.

Allein den Wiederanlauf anzustreben ohne weitere Aktivitäten kann fahrlässig sein. Gegen diesen speziellen Angriff können auch Anti-Virenprogramme und das Einspielen der jüngsten Updates ö.ä. ^[22] helfen. Modifikationen des Angriffs dürften mit diesen Maßnahmen allerdings nicht erkannt werden. Betroffene sollten sorgfältig abwägen, ob der erfolgreiche Angriff veröffentlicht werden sollte.

8.   Vorbeugende Maßnahmen

Kommerzielle und staatliche Intrusion-Detection-Systeme sind wenig sinnvoll, wenn sie dokumentierte Angriffe nicht erkennen. Gesetzliche Maßnahmen ^[23] wie die Forderung nach Meldung von Angriffen binnen 6o Kalendertagen gehen völlig ins Leere angesichts der Erkennung von Angriffen erst nach mindestens 6 Monaten bis hin zu 18 Monaten – im Solarwinds-Fall 13 Monate. Es entsteht der Eindruck, dass die US-Behörden sehr gute Angriffe entwickeln, aber nicht in der Lage sind, sich gegen Angriffe Dritter hinreichend zu schützen.

In der Bundesrepublik wird großer Wert auf Überwachung (Entschlüsselung jeglicher Kommunikation) der Bürger gelegt – die Überwachung des Internetverkehrs und der Schutz vor Kriminellen scheint vernachlässigt. Die immer wiederkehrende Kryptodebatte kann daher als Ablenkung der Bürger von den tatsächlichen Risiken des Internets bezeichnet werden.

Die Politik muss sich fragen lassen, wie sie das Grundrecht auf körperliche Unversehrtheit ^[24] garantieren will – z.B. in den Krankenhausfällen und bei der Versorgung mit Impfstoffen ^[25]. Angriffe wie der hier diskutierte SolarWinds-Fall können selbst von kapitalkräftigen Unternehmen nicht mehr erkannt, untersucht oder gar abgewehrt werden.

Ziel der Politik muss sein, Angriffe zu identifizieren und Unternehmen und Behörden rechtzeitig zu warnen indem auf bisher unveröffentlichte Sicherheitslücken, backdoors und covert channels hinzuweisen. Eine solche Initiative gehört in das IT-Sicherheitsgesetz.

Zwei grundlegende Techniken zur Identifizierung von backdoors und covert channels ^[26] sind die Analyse der Ressourcen eines Systems und eine sorgfältige Static Source Code Analysis (Quellcode-Analyse). Erfahrungsgemäß können nur 30% der covert channels Tool-gestützt erkannt werden.

Wenig hilfreich ist der Microsoft-Vorschlag ^[27] die Bildung einer Signatur über den im SolarWinds praktizierten Angriff und Vergleich mit aktuellen Datenströmen – vergleichbar Anti-Virenprogrammen. Damit kann zwar der SolarWinds-Hack erkannt werden, aber kaum ein anderer.

Ein konstruktiver Zugang zum Thema stellt das ‚Internet Governance Forum‘ ^[28] (IGF) der Vereinten Nationen dar sowie das ‚Council to Secure the Digital Economy‘ ^[29] (CSDE) der IT- und Telekom-Industrie.

9.   Abschließende Bewertung

• Der Gesamtschaden kann von Betroffenen (Unternehmen und Behörden) nur sehr aufwändig abgeschätzt werden – und dies auch nur, wenn automatisiert Logs auf unterschiedlichen Ebenen erstellt wurden.
• Weitere Angriffsvektoren ^[30] – über die 2 veröffentlichten backdoors hinaus – dürften noch identifiziert werden – ggf. auch nicht unter Nutzung der Orion-Software; jedenfalls sind alle Aussagen wie „wurde nicht ausspioniert, nicht sabotiert“ fachlich nicht gerechtfertigt. Daneben sind die ‚üblichen‘ Sicherheitsfehler zu erkennen wie Veröffentlichung von Passworten, zu lange Reaktionszeiten nach Malware-Erkennung.
• Wenn hier der Eindruck entsteht, dass dieser Fall zu den wenigen außergewöhnlichen gehört, ist das falsch. Vergleichbare Angriffe – vielleicht nicht mit diesem Umfang – sind alltäglich. Dementsprechend hat die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) 5 Tage nach Veröffentlichung des Falls eine Notfallrichtlinie ^[31] herausgegeben, die SolarWinds-Produkte einsetzende US-Behörden auffordert, den Fall forensisch zu analysieren und Netzwerkverkehr zu Adressen außerhalb der Organisation zu blockieren. Behörden ohne entsprechendes Fachwissen sollen die Produkte wegen einer möglichen Kompromittierung sofort stilllegen.

Prof. Dr. Hartmut Pohl, Geschäftsführer der IT-Sicherheitsberatung softScheck GmbH Köln – Sankt Augustin, www.softScheck.com

^[3] So wurde erfolgreich auf die Quellcodebasis von Windows (Microsoft) zugegriffen (https://bit.ly/2JA91AC); bisher unbestätigt (aber wahrscheinlich) sind Zugriffe auf die supply chain, die – wie beim Zugriff auf die SolarWinds Supply Chain auch – backdoors in über 85% aller Computer auf der Welt ermöglichte. Die politischen und wirtschaftlichen Folgen wurden bereits vor Jahrzehnten untersucht (https://bit.ly/3rK8ZHN), wuden aber nicht verstanden: Weltweit können von den Angreifern binnen weniger Tage oder auch schlagartig fast alle Computer und damit das Internet still gelegt werden. Terroristische Interessen (Sabotage) können nicht ausgeschlossen werden.