Sicherheitsforscher nutzen Windows-Fernzugriff um sensible Dateien zu modifizieren und Web-Server zu übernehmen

[datensicherheit.de, 16.05.2020] Das Check Point Research Team von Check Point® Software Technologies Ltd. war einer bekannten – und dennoch offenen – Sicherheitslücke in Microsofts Fernzugriff für Windows-Betriebssysteme auf der Spur, als es auf eine wesentlich gefährlichere Schwachstelle stieß: Path-Traversal-Attacks.

Zugriff auf das gesamte System möglich

Den Sicherheitsforschern gelang es, die Anwendung eines Ziel-Servers auszutricksen und sich Zugriff auf das gesamte System zu verschaffen. Sie schickten eine Datei an ein beliebiges Programm, deren Name nicht verifiziert werden konnte. Statt die Datei abzulehnen, weil sie nicht in den Standard-Ordner gespeichert werden kann, gewährte das System den Angreifern nun, ihre Datei über den Explorer in einem Ordner ihrer Wahl zu speichern. So können die Cyber-Kriminellen sämtliche Ordner durchsuchen und äußerst sensible Dateien lesen oder sogar extrahieren, darunter: Informationen über Programme, Datenbanken, Passwörter, oder den Quell-Code einer Anwendung. Am schwersten aber wiegt, dass die Akteure in die Lage versetzt werden, Befehle auf dem Web-Server auszuführen, die im schlimmsten Fall den gesamten Server kompromittieren.

Schwachstelle bereits auf der Black-Hat-Conference 2019 vorgestellt

Die ursprüngliche Sicherheitslücke im RDP stellte Check Point bereits im August 2019 auf der Black-Hat-Conference vor. Microsoft veröffentlichte umgehend einen Patch (CVE-2019-0887). Jedoch fanden die Sicherheitsforscher bereits im Oktober 2019 heraus, dass der Patch selbst einige Lücken aufwies, die es ermöglichten, den installierten Patch zu umgehen und die alte Schwachstelle wieder zu öffnen. Das Ergebnis der Untersuchung war, dass Microsoft zum Schließen dieses Einfallstors die API-Funktion ‚PatchCchCanonicalize‘ nutzt, welche den Sicherheitsforschern zufolge also nicht fehlerfrei sein konnte. Im Februar 2020 schloß Micrsoft, nach dem Hinweis von Check Point, die Lücke im Fernzugriff erneut mit einem Patch (CVE 2020-0655). Damit ist zwar das RDP nun korrekt gesichert, jedoch natürlich nicht all die anderen Programme, die mit der API-Funktion ‚PatchCchCanonicalize‘ ausgestattet sind.

Christine Schönig, Check Point Software, Foto: Check Point Software Technologies

Christine Schönig, Regional Director Security Engineering CER, Office of the CTO bei Check Point Software Technologies, erklärt: „Unsere Entdeckung sollte in zwei Teilen betrachtet werden. Der erste Teil besteht daraus, dass IT-Abteilungen großer Unternehmen, die Windows verwenden, dringend Microsofts ‚Februar-Patch (CVE 2020-0655)‘ installieren müssen. Es gilt sicherzustellen, dass deren RDP-Client vor dem Angriff geschützt ist, den wir auf der BlackHat USA 2019 vorgestellt haben.

Der zweite Teil richtet sich an Software-Entwickler und Sicherheitsforscher weltweit: die Schwachstelle selbst ist in der offiziellen API noch nicht behoben. Daher sind alle Software-Programme, die nach Microsofts ‚Best Practices‘ geschrieben werden, weiterhin für einen Path-Traversal-Angriff anfällig. Software-Entwickler müssen sich dieser Bedrohung bewusst sein und dafür sorgen, dass ihre eigenen Software-Programme manuell gepatcht werden.“

Weitere Informationen zum Thema:

Check Point Research
Reverse RDP – The Path Not Taken

datensicherheit.de, 06.05.2020
Tenable: Diese Schwachstellen bedrohen mobiles Arbeiten derzeit besonders stark

datensicherheit.de, 10.04.2020
SANS Institute: Anstieg bei Angriffen auf das Remote Desktop Protocol

Remote-Arbeitsplätze für mobile Arbeitskräfte, die Verlagerung der Belegschaft ins Home-Office und die Nutzung von RDP, VPN und VDI vergrößern die Cyberangriffsfläche erheblich

[datensicherheit.de, 14.04.2020] Das Unternehmen Vectra AI, tätig im Bereich Network Detection and Response (NDR), warnt davor, dass Remote-Arbeitsplätze für mobile Arbeitskräfte, die Verlagerung der Belegschaft ins Home-Office und die Nutzung von RDP, VPN und VDI die Angriffsfläche ganz massiv vergrößern. Angemessene Sicherheitsmaßnahmen erfordern detaillierten Einblick in die Fernverbindung von Benutzern zu internen geschäftskritischen Systemen. Dies ist jedoch rein manuell nicht zu bewältigen. Deshalb ist die Automatisierung der IT-Sicherheit mithilfe von maschinellem Lernen und künstlicher Intelligenz dringender denn je.

In seinem Internet Exposure Dashboard für Deutschland zeigt Shodan auf, dass es derzeit über 5.400 dem Internet ausgesetzte Maschinen gibt, die die Remote-Code-Execution-Schwachstelle „BlueKeep“ in RDP (Remote Desktop Protocol) aufweisen. „Eine Vectra-Studie von 2019 belegte, dass RDP eine große und anfällige Angriffsfläche in vielen Netzwerken schafft. Laut dem Vectra 2019 Spotlight Report on RDP hat die KI-basierte Plattform Cognito 26.800 verdächtige RDP-Vorgänge in mehr als 350 Implementierungen im ersten Halbjahr 2019 erkannt. 90 Prozent dieser Implementierungen wiesen Verhaltenserkennungen von RDP-Angreifern auf“, berichtet Andreas Müller, Director DACH bei Vectra.

Foto: Vectra

Andreas Müller, Director DACH bei Vectra

Neben steigenden VPN- und VDI-Zugriffen auch unerwartete Zugriffsaktivitäten im Blick behalten

Die erhebliche Ausweitung der Telearbeit lässt sich an der seit Anfang 2020 beobachteten 41%igen Zunahme der Nutzung von Remote-Desktops und 33%igen Zunahme der VPN-Nutzung in Unternehmen ablesen.1 Dies wirft neue Fragen über die Sicherheit der Werkzeuge auf, die Menschen auf der ganzen Welt nutzen, um sich mit wichtigen Arbeitsplatzsystemen und geschäftskritischen Daten zu verbinden. Eine weiterhin deutliche Zunahme des VPN- und VDI-Zugriffs ist hierbei zu erwarten. Unternehmen sehen sich somit innerhalb kurzer Zeit mit einer Ausweitung der Cyberangriffsfläche konfrontiert. Umso wichtiger ist es daher, nach unerwarteten Zugriffsaktivitäten zu suchen. Dies könnte alles sein, vom Trend, dass Benutzer persönliche Cloud-Speicher nutzen, bis hin zu einem Server-Administrator, der Fernzugriffs-Tools einsetzt, um eine direkte Verbindung zu den Systemen herzustellen.

Überwachung der virtuellen Desktop-Infrastruktur (VDI)

Um die steigende Anzahl der Mitarbeiter an entfernten Standorten zu bewältigen, greifen Unternehmen zunehmend auf Cloud-basierte „Desktop as a Service“-VDI-Dienste zurück. Diese verfügen über eine verschlüsselte private Verbindung zurück in das Unternehmensnetzwerk. Mehrere gleichzeitige VDI-Sitzungen können durch zugehörige Kerberos- und NT-LAN-Manager (NTLM)-Authentifizierungssitzungen identifiziert werden und eine Überprüfung auf Anzeichen von kompromittierten Kontoanmeldeinformationen rechtfertigen. Jeglicher VDI-bezogener Verkehr außerhalb der gesicherten privaten Verbindung mit dem Cloud-VDI-Anbieter des Dienstes sollte identifiziert und kontrolliert werden.

Überwachung des Remote-Desktop-Protokolls (RDP)

Microsoft RDP wird von Remote-Clients zur Verbindung mit VDI-Diensten verwendet und ist ein verlockendes Ziel für Angreifer, da es ihnen die volle Kontrolle über die mit dem Netzwerk verbundenen Geräte geben kann. Im Laufe der Jahre sind immer wieder neuen RDP-Schwachstellen hinzugekommen, die eine Remote-Codeausführung und eine Eskalation von Privilegien ermöglichen. Normalerweise sollte RDP nicht dem Internet ausgesetzt sein, und wo VDI-Dienste lokal gehostet werden, sollte dies nur über VPN-Zugriff für entfernte Mitarbeiter geschehen. Einige Unternehmen geben der Bereitstellungsgeschwindigkeit jedoch gegenüber der Sicherheit den Vorrang. Sie stellen ihre RDP-Dienste hinter eine Web Application Firewall (WAF) und machen den Dienst öffentlich zugänglich. Die Exposition von RDP-Diensten gegenüber dem Internet ist normalerweise ein großes Risiko. In diesem Szenario ist es wichtig, dass eingehende RDP-Anforderungen ausschließlich auf die Verbindung mit dem legitimen RDP-Gateway beschränkt sind.

Identifizieren der unbefugten Nutzung von Cloud-Speicher

Die Verwendung von nicht genehmigten Cloud-Speicherdiensten kann zu Problemen bei der Einhaltung von Vorschriften und Richtlinien führen und es erschweren, Datenexfiltration zu erkennen. So ist davon auszugehen, dass für die gemeinsame Nutzung von Informationen verstärkt Cloud-basierte Speicher (OneDrive, Google Drive usw.) anstelle von firmeninternen Dateiservern verwendet werden. Dies bedeutet, dass mehr wertvolle Informationen in einem Cloud-Speicher abgelegt werden könnten, als dies unter gewöhnlichen Umständen der Fall wäre. Die Art und Weise, wie der Remote-Host verbunden ist, wirkt sich auf den Grad der Sichtbarkeit des Cloud-Speichers aus. Bei einer VPN-Verbindung mit geteiltem Tunnel werden nur die DNS-Anforderungen gesehen, die die IP-Adressen des Cloud-Speicherdienstes auflösen. Im Falle eines VPN mit vollem Tunnel wird iSession auch die nachfolgenden Verbindungen zum Cloud-Speicherdienst anzeigen.

Beobachtung von Server Message Block (SMB) mit externem Zugriff

SMB ist ein Protokoll auf Anwendungsebene, das den gemeinsamen Zugriff auf Dateifreigaben, Drucker und serielle Schnittstellen von Geräten in einem Netzwerk ermöglicht. SMB ist ein komplexes Protokoll mit vielen bekannten Schwachstellen, einschließlich EternalBlue, dem Exploit, der die Verbreitung von WannaCry, NotPetya und anderen verheerenden Ransomware-Angriffen ermöglicht. Normalerweise sollten SMB-Dienste nicht dem Internet ausgesetzt sein und nur über einen VPN-Zugang für Remote-Mitarbeiter erfolgen. Jede Exposition von SMB-Diensten geht mit einem erheblichen Datenverlustrisiko einher.

Überprüfung der Sicherheitslage an entfernten Endpunkten

Da die Arbeit an entfernte Standorte verlagert wird, ist es ratsam, sicherzustellen, dass über VPN verbundene Arbeitsplätze richtig konfiguriert sind, um auf die vom Unternehmen verwalteten Dienste wie DNS und NTP zuzugreifen. Wie verhalten sich die Endpunkte, die sich jetzt physisch außerhalb der Kontrolle befinden? Welche Hosts im Netzwerk initiieren zum Beispiel rekursive DNS-Anforderungen an externe DNS-Server? Bei VPN-Verbindungen mit vollem Tunnel wären die DNS-Auflösungen zu nicht firmeneigenen verwalteten DNS-Diensten sichtbar. Bei VPN-Verbindungen mit geteiltem Tunnel würde das DNS lokal aufgelöst und nicht sichtbar sein.

NDR-Plattform reduziert Arbeitsaufwand für Erkennung und Analyse

Versteckt im hohen Traffic-Volumen von Remote-Mitarbeitern, Unternehmensnetzwerken und Cloud-Instanzen gibt es kleine, aber wertvolle Hinweise, die für die Sicherheit relevant sind. „Durch den Einsatz einer automatisierten NDR-Plattform können Sicherheitsteams den mit solchen Erkennungen und Analysen verbundenen Arbeitsaufwand reduzieren und so ihre Effizienz und Effektivität erhöhen, worauf es gerade jetzt umso mehr ankommt“, rät Andreas Müller abschließend.

[1] Trends in Internet Exposure, Trends im Internet Exposure

Weitere Informationen zum Thema:

datensicherheit.de, 13.04.2020
VelvetSweatshop: Microsoft Office-Programme beliebtes Mittel zum Start von Cyberangriffen

datensicherheit.de, 10.04.2020
SANS Institute: Anstieg bei Angriffen auf das Remote Desktop Protocol

datensicherheit.de, 02.04.2020
Sicherheitspanne in Marriott-Hotels: Daten von 5.2 Millionen Kunden offengelegt

datensicherheit.de, 30.03.2020
VPN-Nutzung: Endgeräte-Hygiene im Home-Office empfohlen

datensicherheit.de, 26.03.2020
Corona: Verunsicherte Nutzer im Fokus von Cyber-Betrügern

[datensicherheit.de, 23.05.2019] Nachdem bekannt geworden war, dass eine Schwachstelle in der RDP-Funktion existiert, die Angreifern den externen Zugriff ermöglicht, hat die Check Point® Software Technologies Ltd. nach eigenen Angaben unverzüglich einen Patch veröffentlicht.

Vor allem „Windows 7“ und „Windows Server 2008“ betroffen

Ein IPS-Update für „Check Point Security Gateway“ der Versionen R80, R77, R76 und R75 schützt Kunden demnach vor den Gefahren, die von der Sicherheitslücke (CVE-2019-0708) ausgehen. „Es wird daher dringend empfohlen, das neue Update sofort auszuführen“, mahnt Check Point.
Die Schwachstelle gebe den Angreifern die Möglichkeit, fremden Code über Fernzugriff auszuführen, indem sie RDP-Services ausnutzten. Die Lücke betreffe vor allem die Systeme „Windows 7“ und „Windows Server 2008“, die zwar alt, aber noch weit verbreitet seien. „Windows 8“ und „Windows 10“ dagegen seien sicher. Betroffen könnten Computer aus allen möglichen Branchen sein – Industrie, Finanzmarkt, Gesundheit, Behörden, Einzelhandel u.a.

Gerade Finanzbranche und Gesundheitssektor im Visier Cyber-Krimineller

Gefährlich sei die Lücke vor allem deshalb, weil Angreifer einen Computer innerhalb eines gewöhnlichen, öffentlichen Netzwerks, wie einem WLAN-Hotspot, völlig übernehmen könnten. Geldautomaten, aufgrund ihrer Anbindung an öffentliche Netzwerke, und wichtige IoT-Geräte, auf denen oft noch alte Betriebssysteme liefen, seien besonders anfällig. Gerade die Finanzbranche und der Gesundheitssektor könnten ins Visier der Cyber-Kriminellen geraten.
Allerdings könne abseits des öffentlichen Internets auch innerhalb eines Unternehmensnetzwerkes ein immenser Schaden entstehen, falls ein Angreifer sich über RDP erfolgreich Zugriff auf einen Computer verschafft hat. Mithilfe von sogenannten Seitwärtsbewegungen (lateral movements) könne es ihm gelingen, weitere Rechner zu infiltrieren. Eine ähnlich riesige Schadenswirkung wie von der Ransomware „WannaCry“ im Jahr 2017 liege auch hier im Bereich des Möglichen.

3 Schritte empfohlen, um sicher vor der Schwachstelle in RDP zu sein

Check Point empfiehlt nach eigenen Angaben, neben dem essentiellen IPS-Update, drei Schritte zu gehen, um sicher vor der Schwachstelle in RDP zu sein:
Unternehmen sollten das RDP-Protokoll auf dem „Check Point Security Gateway“ und dem „Check Point SandBlast“-Agenten blockieren, also am Endpunkt. Falls RDP für unternehmenskritische Prozesse verwendet wird, sollte das „Check Point Gateway“ so konfiguriert werden, dass nur Verbindungen von vertrauenswürdigen Geräten innerhalb des Firmennetzwerks durchkommen. Falls die Funktion aber nicht gebraucht wird, sollten Firmen RDP auf ihren „Windows“-Systemen schlicht deaktivieren und den bereits veröffentlichten Microsoft-Patch installieren. Kommen IoT-Geräte in einer Firma zum Einsatz und könnten ins Visier von Angreifern geraten, sollten trotz der Installation des Patches die ersten beiden Schritte bedacht werden.

Weitere Informationen zum Thema:

Check Point, 21.05.2019
Critical Vulnerability in Windows OS – Learn How To Protect Yourself

datensicherheit.de, 15.05.2019
Windows-Schwachstelle: BSI warnt vor möglichen wurmartigen Angriffen

datensicherheit.de, 20.09.2018
IT-Sicherheit: Priorisierung beim Schwachstellenmanagement nötig