Microsoft Exchange Hack: 5 Tipps für die Reaktion eines MSP

Kaum haben wir eine Bedrohung für die Cybersicherheit beseitigt, taucht schon die nächste auf. Die neueste Bedrohung, von der die breite Öffentlichkeit betroffen ist, ist ein komplexes Gewirr von Informationen rund um Microsoft Exchange, das nicht nur einen, sondern mehrere Zero-Day-Exploits umfasst, was dieses Problem zu mehr als nur einer alltäglichen Angelegenheit macht. Diese Exploits beinhalten eine Umgehung der Authentifizierung (einschließlich der Zwei-Faktor-Authentifizierung) und füllen zahlreiche Sicherheitsmeldungen – was ist also tatsächlich los und wie sollten Sie darauf reagieren?

Die Bedrohung verstehen

Microsoft Exchange ist Ziel massiver Angriffe, bei denen vier unterschiedliche und sich ergänzende Zero-Day-Schwachstellen ausgenutzt werden, wodurch sich Angreifer letztendlich Zugang zu den betroffenen Netzwerken verschaffen. Die vier Schwachstellen bilden eine ideale Kombination, da sie Schritt für Schritt vom nicht authentifizierten Erstzugriff auf eine Exchange-Instanz über die Eskalation von Berechtigungen bis hin zur Codeausführung führen, wodurch ein dauerhafter Zugriff auf die Ziele hergestellt wird.

Nach der außerplanmäßigen Veröffentlichung von Exchange-Patches durch Microsoft beobachtet die Sicherheitsgemeinschaft weiterhin, dass diese Schwachstellen in großem Umfang automatisiert ausgenutzt werden, wobei sich auch die Häufigkeit und die Merkmale dieser Angriffe ständig ändern. Da die Angreifer nun über die für diesen Angriff erforderliche Kette von Exploits verfügen, werden die automatisierten Massenscans und die Vielfalt der durchgeführten Angriffe voraussichtlich weiter zunehmen.

Sei rücksichtsvoll

Wenn Sie oder Ihre Kunden Exchange einsetzen und kein umfassendes Sicherheitsprogramm eingerichtet haben, besteht die reale Gefahr, dass wertvolle Beweismittel aufgrund der standardmäßigen Aufbewahrungseinstellungen verschwinden, bevor Sie mit einer umfassenden Triage oder Reaktion beginnen können. Diese Schwachstellen wurden möglicherweise bereits im November und Dezember 2020 gezielt ausgenutzt, doch weitreichende Scans scheinen erst Ende Februar 2021, kurz vor der öffentlichen Bekanntgabe durch Microsoft, begonnen zu haben.

Wenn Sie sich einen Moment Zeit nehmen, um darüber nachzudenken, wie wichtig es ist, Beweismittel jetzt zu sichern, könnte sich das später auszahlen, wenn Sie eine umfassendere Initiative zur Untersuchung und Triage starten. Web- und Systemereignisprotokolle verschwinden wahrscheinlich, sehen Sie sich daher den Link zu FireEye Research im Abschnitt „Tipps zur Untersuchung“ an, um diese Maßnahme zügig in Angriff zu nehmen.

Behalte die Grundlagen im Auge

Bei der Ausarbeitung Ihres Plans zur Reaktion auf Sicherheitsvorfälle können Sie auf verschiedene Modelle zurückgreifen. Die beiden am häufigsten genannten sind das SANS Institute und das National Institute for Standards and Technology (NIST). Das NIST-Cybersicherheits-Framework fasst Branchenstandards und bewährte Verfahren in einem einheitlichen Format zusammen, um Unternehmen dabei zu unterstützen, auf Cybersicherheitsvorfälle zu reagieren, sich davon zu erholen, die Ursachen zu analysieren und im Laufe der Zeit Verbesserungen vorzunehmen. Jetzt ist es an der Zeit, sich auf die Grundlagen zu besinnen und bei Ihrer Reaktion einen besonnenen Ansatz zu verfolgen.

Wir sitzen alle im selben Boot

Microsoft hat Patches veröffentlicht, mit denen Sie künftige Angriffe verhindern können, und es wird empfohlen, diese unverzüglich zu installieren. Sollte eine Installation der Patches derzeit nicht möglich sein, finden Sie unten Links zu den Empfehlungen von Microsoft zur Risikominderung. Allerdings sollten alle Maßnahmen, die nicht die vollständige Behebung dieser Schwachstellen beinhalten, lediglich als vorübergehende Abhilfe betrachtet werden. Um festzustellen, ob Sie und Ihre Organisation betroffen sind, sind eine beschleunigte Einstufung sowie eine zusätzliche Überprüfung der von der Sicherheits-Community vorgelegten Forschungsergebnisse erforderlich.

• Datto hat einen „ProxyLogon/Hafnium-Scanner“ für Microsoft Exchange veröffentlicht, der im ComStore unter Datto RMM verfügbar ist. Dabei stützt sich das Unternehmen auf die hervorragende Arbeit von CERT-LV und Microsoft, um bei der Erkennung von Sicherheitsverletzungen zu helfen.
• Im Folgenden finden Sie Links zu weiteren Ressourcen, um mehr über die Zero-Day-Schwachstellen, die Indikatoren für eine Kompromittierung (IOCs) und die Feinheiten dieses neuartigen Angriffs zu erfahren. Das ist zwar ein guter Anfang, doch als Sicherheitsfachleute dürfen wir nicht vergessen, dass wir uns an die jeweilige Situation anpassen müssen.

Wissen ist Macht

Microsoft und das Exchange-Team aktualisieren regelmäßig eine spezielle Informationsseite zu diesen Sicherheitslücken und diesem Vorfall. Außerdem gibt es zwei GitHub-Repositorys mit Echtzeit-Updates zu neu identifizierten IOCs. Es kursiert eine überwältigende Menge an Informationen zu diesem Vorfall. Wenn Sie sich zunächst bei Microsoft informieren und relevante Updates und Hinweise der Cybersecurity and Infrastructure Security Agency (CISA) im Auge behalten, sind Sie bestens gerüstet, um den Überblick über die Situation zu behalten.

Im Folgenden haben wir eine Liste mit weiteren Ressourcen für MSPs zusammengestellt, die beim Umgang mit diesem Vorfall hilfreich sein können. Bleiben Sie wachsam.

• Bedrohungsforschung: Erkennung und Reaktion auf den Missbrauch von Zero-Day-Sicherheitslücken in Microsoft Exchange
• Maßnahmen zur Eindämmung von Sicherheitslücken in Microsoft Exchange Server – aktualisiert am 9. März 2021
• Scan Exchange-Protokolldateien auf Anzeichen einer Kompromittierung
• Sicherheitslücken in Microsoft Exchange Server mindern
• Kompromittierung des Microsoft Exchange-Servers
• Eine Untersuchung der Ausnutzung von Exchanges und die daraus resultierenden Lehren für Verteidiger
• Ausnutzung von Sicherheitslücken im Microsoft Exchange-Server: So erkennen und beheben Sie diese und bewahren dabei die Ruhe