Aktuelle Microsoft-Patches und Maßnahmen zur Eindämmmung der Exchange-Sicherheitslücke

Neben dem monatlichem Patch Tuesday-Update von Microsoft schaut die IT-Security-Community aktuell vor allem auf die Entwicklungen rund um die jüngsten Microsoft Exchange-Schwachstellen.

 Satnam Narang, Staff Research Engineer bei Tenable, kommentiert:

„Das Patch Tuesday Release dieses Monats adressiert 82 CVEs, von denen zehn als kritisch eingestuft sind. Das Release enthält einen Fix für CVE-2021-26411, eine Schwachstelle für Remotecodeausführung in Microsoft Internet Explorer, die in freier Wildbahn als Zero-Day ausgenutzt wurde. Dies steht im Zusammenhang mit einer Schwachstelle, die Anfang Februar von Forschern des ENKI öffentlich gemacht wurde. Diese behaupten, dass es sich um eine der Schwachstellen handelt, die in einer konzertierten Kampagne von staatlichen Akteuren genutzt wurde, um Sicherheitsforscher ins Visier zu nehmen. Im ENKI-Blogpost erklären die Forscher, dass sie Proof-of-Concept (PoC)-Details veröffentlichen werden, nachdem der Bug gepatcht wurde. Wie wir in der Vergangenheit gesehen haben, integrieren Angreifer diese PoCs schnell in ihre Angriffs-Toolkits, sobald PoC-Details öffentlich zugänglich sind. Wir raten allen Unternehmen, die auf Internet Explorer und Microsoft Edge (EdgeHTML-basiert) angewiesen sind, diese Patches so schnell wie möglich einzuspielen.

Patches installieren

Unternehmen sollten unbedingt sicherstellen, dass sie auch Patches für Proxylogon und andere Microsoft Exchange-bezogene Zero-Days installiert haben, die letzte Woche im Rahmen eines Out-of-Band-Advisorys bekannt wurden. Diese wurden von nationalstaatlichen Gruppen und anderen Angreifern wahllos ausgenutzt. Zusätzlich zu den Patching-Maßnahmen ist es für Unternehmen wichtig, ihre Sorgfaltspflicht zu erfüllen und nach Indikatoren für eine Kompromittierung zu suchen, um sicherzustellen, dass Angreifer in ihren Netzwerken nicht bereits Fuß gefasst haben.

In dem Moment, in dem die aktuell heiß diskutierte Microsoft Exchange-Schwachstellen öffentlich wurden, begann ein heimliches Rennen, und die ursprünglichen Gruppen, die diese Schwachstellen ausnutzten, sind jetzt nicht mehr die einzigen. Wenn es stimmt, dass über 60.000 Organisationen kompromittiert wurden, bedeutet das, dass sie diesen Angriff diskret genug durchgeführt haben, um keinen Verdacht zu erregen.

Wenn man sich die Vorgehensweise der Kriminellen ansieht, scheint es, dass sie versucht haben, diese Schwachstellen auszunutzen und die Persistenz zu erhalten, wo immer sie konnten. In diesem Fall scheinen die Angreifer automatisiertes Scannen und Exploits zu verwenden, um aus der Schwachstelle Kapital zu schlagen, bevor Patches angewendet werden. Zu diesem Zeitpunkt wissen die Angreifer, dass diese Schwachstellen gebrandmarkt sind. Wenn es ihnen also gelingt, eine Web-Shell erfolgreich zu implantieren, können sie zumindest die Persistenz aufrechterhalten, wenn das Unternehmen nichts Anderes tut, als die Patches aufzuspielen, bevor es diese anwenden kann. Eine der Herausforderungen besteht jedoch darin, dass nicht alle Unternehmen die Patches schnell genug anwenden – oder manche gar nicht.

Jetzt, da diese Schwachstellen öffentlich sind, können Unternehmen die von Microsoft vorgeschlagenen Maßnahmen zur Schadensbegrenzung berücksichtigen, bis sie die Patches anwenden können, aber letztendlich ist das Einspielen von Patches die einzige Möglichkeit, diese Schwachstellen endgültig zu beheben.“