Comretix Blog

Der US-Bann von Kaspersky bekommt globale Auswirkungen. Die US-Regierung hat den Verkauf der Software des Herstellers verboten. Google zieht daraus die Konsequenz und entfernt sowohl die Software als auch die Konten des Unternehmens aus Google Play.

Anzeige

Damit ist von dem Verbot in den USA nicht mehr nur der dortige Markt betroffen, sondern unter anderem auch der deutschsprachige Raum. Apps von Kaspersky lassen sich auch hier nicht mehr im Google Play Store finden und installieren.

Im Kaspersky-Forum schreibt ein Angestellter des Unternehmens, dass Downloads und Updates von Kaspersky-Software im Google Play Store "temporär nicht verfügbar seien". Das Unternehmen untersuche die Umstände des Problems und eruiere mögliche Lösungen, um Nutzerinnen und Nutzer der Software diese aus dem Play Store wieder herunterladen und aktualisieren lassen zu können. Kaspersky entschuldige sich für die Unannehmlichkeiten, die das verursacht haben könne.

Gegenüber US-Medien hat Google den Rausschmiss bestätigt: "Das US-Handelsministerium hat kürzlich Kaspersky mit einer Reihe an Restriktionen belegt. Als Ergebnis daraus haben wir Kaspersky-Apps aus Google Play entfernt". Kaspersky schlägt vor, dass Interessierte aus alternativen Quellen und App-Stores an die Kaspersky-Software und zugehörige Updates kommen könnten. Als Beispiele nennen die Russen den Samsung Galaxy Store, Huawais AppGallery oder Xiaomis GetApps.

Bei einem kürzlich entdeckten Cyberangriff, der der chinesischen Regierung zugeschrieben wird, wurden möglicherweise die Netzwerke mehrerer US-amerikanischer Netzbetreiber infiltriert. Betroffen sein könnten unter anderem AT&T, Verizon und Lumen Technologies. Dies berichtet das Wall Street Journal (WSJ) unter Berufung auf interne Quellen.

Anzeige

Demnach wurde der Angriff erst in den vergangenen Wochen entdeckt. Sicherheitsexperten und die US-Regierung würden den Vorfall untersuchen. Die Kampagne scheint auf Informationsbeschaffung ausgerichtet zu sein und gilt als potenziell katastrophale Sicherheitsverletzung. Bisher haben sich AT&T, Verizon oder Lumen gegenüber dem WSJ nicht zu der Kampagne geäußert.

Über mehrere Monate oder länger könnten die Cyberkriminellen, die Salt Typhoon, GhostEmperor oder FamousSparrow genannt werden, laut WSJ Zugang zu Netzwerkinfrastrukturen gehabt haben. Zudem hatten die Angreifer Zugang zu anderen, allgemeineren Internetdaten. Nach Informationen aus einem Eintrag der Malpedia-Datenbank des Fraunhofer FKIE kam dafür ein Rootkit für Windows-Kernel namens Demodex zum Einsatz.

Die möglicherweise betroffenen Überwachungssysteme werden zur Zusammenarbeit bei Anfragen nach inländischen Informationen im Zusammenhang mit strafrechtlichen und nationalen Sicherheitsermittlungen verwendet. Unklar ist, ob auch Systeme, die ausländische Geheimdienstüberwachungen unterstützen, von dem Einbruch betroffen waren.

Eine jetzt entdeckte Malware hat es auf Linux-Server abgesehen: Wie die Experten der Cybersecurity-Beratung Aqua Security berichten, ist das Programm namens "Perfectl" vermutlich schon seit 2021 im Umlauf und befällt Linux-Systeme, um diese heimlich als Proxyserver und für Cryptomining zu nutzen. Das Schadprogramm kann auch als Loader für weitere unerwünschte Programme fungieren.

Anzeige

"Perfectl" hat laut dem Analysebericht vermutlich bereits Millionen von Servern attackiert. Die Zahl der Geräte, welche die Malware erfolgreich befallen konnte, geht in die Tausende, schätzen die Verfasser des Berichts, Assaf Morag und Idan Revivo. "Perfectl" sucht demzufolge nach rund 20.000 verschiedenen Arten von Fehlkonfigurationen, welche Linux-Server potenziell aufweisen können – die Chance, dass das eigene System befallen ist, bestehe im Grunde, sobald der Server mit dem Internet verbunden ist, stellen Morag und Revivo klar.

In allen bekannten Fällen habe die Malware einen Kryptominer ausgeführt. In einigen Fällen sei auch eine Proxy-Jacking-Software zu Einsatz gekommen, heißt es in dem Bericht. Während die beiden Analysten Sandbox-Tests mit der Malware durchführten, machten sie zudem eine Beobachtung: Diese installierte im Hintergrund weitere Programme, um das Geschehen heimlich mitverfolgen zu können.

Das Schadprogramm tarnt sich besonders gut und hält sich hartnäckig auf den Zielgeräten. Aqua Security konnte eine Reihe von Taktiken aufdecken. So nutzt "Perfectl" Rootkits, um seine Präsenz zu verbergen. Loggt sich ein neuer Benutzer ein, beendet die Malware sofort alle Aktivitäten, die auffällig sein könnten. Loggt sich der Nutzer wieder aus, gehen die Aktivitäten wieder weiter.

Die US-Cybersicherheitsbehörde CISA warnt vor einem kritischen Sicherheitsleck in Ivanti Endpoint Manager und einer Lücke in der Groupware Zimbra. Sie hat die Bugs mit den CVE-IDs CVE-2024-29824 und CVE-2024-45519 in ihre Liste der "Known Exploited Vulnerabilities" (KEV) aufgenommen. Während der Ivanti-Fehler bereits im Mai publik wurde, weiß die Öffentlichkeit erst seit wenigen Tagen von der Codeschmuggel-Lücke in Zimbra.

Anzeige

Bereits im Mai machte Ivanti den nun aktiv ausgenutzten Fehler in einem Security Advisory öffentlich, zusammen mit nicht weniger als neun weiteren SQL-Injection-Bugs in allen Versionen bis einschließlich 2022 SU5 des Endpoint Managers. Der Hersteller hatte den kritischen Fehler zwar zunächst mit einem Hotfix vorübergehend behoben, der sorgte jedoch für Ungemach an anderer Stelle. Jetzt wird es für Administratoren mit diesen veralteten Versionen des Ivanti Endpoint Managers höchste Zeit, auf eine neuere Version zu wechseln, zumal seit Monaten Exploit-Skripte auf GitHub existieren.

Wesentlich neueren Datums ist hingegen die kritische Lücke in Zimbra – erste Exploitversuche datieren auf den 28. September. Ob die US-Behörde CISA nun weitere Informationen über Angriffskampagnen gegen Zimbra-Installationen erhalten hat, ist unklar. Administratoren sollten schleunigst ihre Zimbra-Server aktualisieren oder den postjournal-Dienst deaktivieren.

(Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.)

In einer Zeit, in der Informationssicherheit immer wichtiger wird, sind kompetente Informationssicherheitsbeauftragte (ISB) gefragter denn je. Sie spielen eine Schlüsselrolle, wenn es darum geht, Sicherheitsrisiken zu minimieren und den Schutz sensibler Daten zu gewährleisten. Mitarbeiter werden zu Informationssicherheitsbeauftragten (ISB) ernannt. Hierbei sollte für Leitung wie auch zukünftige Beauftragte klar sein, welche Erwartungen, Verantwortlichkeiten und Befugnisse mit der Rolle verbunden sind und welche Kompetenzen hierfür erforderlich sind.

Anzeige

Der Einstiegsworkshop Startklar: Ihre Rolle als Informationssicherheitsbeauftragte bietet einen umfassenden Überblick über die Aufgaben und Verantwortlichkeiten von ISBs, wie auch die Anforderungen, die an diese gestellt werden. Die Schulung erläutert zudem den Stellenwert des ISB im Unternehmen, sowie die notwendigen Rahmenbedingungen, die von der Organisationsleitung geschaffen werden müssen, damit ein ISB seine Rolle effektiv steuern und angehen kann.

Zu Beginn des Workshops werden Grundlagen zur Informationssicherheit und zum Informationssicherheitsmanagement vorgestellt. Wir stellen dar, weshalb die Tätigkeiten von ISBs in ein Managementsystem integriert sein sollten und wie diese arbeiten. Prototypisch orientieren wir uns an einem ISMS nach ISO 27001 als international führenden Standard.

Im weiteren Verlauf stellen wir Aufgaben und Verantwortlichkeiten sowie die Stellung innerhalb einer Organisation vor. Wir betrachten, welche Kenntnisse in Bezug auf Informationssicherheit, IT und soziale Fähigkeiten von Vorteil sind. Zudem werden die Schnittstellen des ISB zu internen und externen Akteuren, Teamarbeit, notwendige fachliche Kenntnisse und Soft-Skills besprochen. Der Workshop schließt mit einer Übersicht über relevante Schulungen und unterstützende Tools.

Mit einem guten Dutzend Sicherheitshinweisen behebt Cisco einige Lücken in VPN-Routern, Security-Appliances der Meraki-Baureihe, Blade-Centern und der Cloud-Netzwerkverwaltung "Nexus Dashboard". Für die Sicherheitslücken gibt es Softwareflicken, aber keine Workarounds – Admins sollten also ihren Gerätepark auf den neuesten Stand bringen.

Anzeige

Die gefährlichste Lücke betrifft den Nexus Dashboard Fabric Controller (NDFC), eine Software zur Verwaltung von Netzwerkgeräten. Der Bug erlaubt einem Angreifer mit gültigem Benutzerkonto, beliebigen Code auf einem durch eine angreifbare NDFC-Instanz verwalteten Gerät auszuführen. Die Kommandos lassen sich sowohl über die Weboberfläche als auch über das RESTful API einschleusen – nur die Tatsache, dass ein Nutzerkonto notwendig ist, bewahrt CVE-2024-20432 vor der CVSS-Höchstwertung. Mit einem Wert von 9,9 Punkten ist die Sicherheitslücke dennoch kritisch.

Auch über das Secure Copy Protocol (SCP) kann ein Missetäter eigenen Code am NDFC vorbei auf Netzwerkgeräten einschleusen. Dazu lädt er diesen einfach per SCP hoch und macht sich eine mangelhafte Pfadprüfung zunutze – die schädlichen Kommandos werden mit den Rechten des Nutzers "root" ausgeführt und bescheren der Sicherheitslücke mit CVE-ID CVE-2024-20449 ein hohes Risiko und CVSS 8,8 von 10.

Mehrere weitere Lücken im Nexus-Dashboard (CVE-2024-20385, CVE-2024-20438, CVE-2024-20441, CVE-2024-20442, CVE-2024-20490, CVE-2024-20491, CVE-2024-20444 und CVE-2024-20448) bringen ein mittleres Risiko mit sich und rangieren von TLS-Zertifikatsproblemen über Autorisierungsmängel bis zu Informationslecks.

Microsoft und der US-Justiz ist ein Schlag gegen eine Gruppe russischer Cyberkrimineller gelungen, die Journalisten und Nicht-Regierungs-Organisationen ins Visier nahm. In einer gemeinsamen Aktion mit dem US-Justizministerium wurden mehr als 100 Websites der Gruppe, die Microsoft unter dem Namen "Star Blizzard" führt, aus dem Verkehr gezogen. Die mindestens seit 2017 aktiven Hacker wurden bereits unter anderem von Großbritannien dem russischen Geheimdienst zugerechnet.

Anzeige

Infrastruktur in dieser Größenordnung neu aufzubauen, werde die Kriminellen Zeit und Geld kosten, betonte Microsoft in einem Blogeintrag. "Star Blizzard" griff demnach in den vergangenen Jahren speziell frühere Geheimdienst-Mitarbeiter, Russland-Experten und russische Staatsbürger in den USA an.

Die Gruppe setzt dafür personalisierte Phishing-Mails ein, die die Zielpersonen dazu verleiten sollen, Login-Daten preiszugeben. Die Cyberkriminellen hätten sich in der Vergangenheit schnell umgruppiert, wenn Teile ihrer Infrastruktur aufgeflogen seien.

(Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.)

Die Sicherheitsforscher von Eset haben eine nach ihren Angaben neue Gruppe eines "Advanced Persistent Threat"-Akteurs (APT) entdeckt. Als solche werden kriminelle Organisationen bezeichnet, die für ein Ziel maßgeschneiderte Angriffe über einen längeren Zeitraum durchführen. Oft werden solche APTs staatlichen Institutionen wie Geheimdiensten zugeordnet.

Anzeige

Die von den Entdeckern "CeranaKeeper" getaufte Gruppe soll seit Mitte 2023 große Mengen sensibler Daten von einer namentlich nicht genannten Regierungsbehörde in Thailand erbeutet haben. Dabei nutzten sie unter anderem Tools der APT-Gruppe Mustang Panda, die in Verbindung mit China stehen soll. Daher ordnet Eset auch CeranaKeeper chinesischen Akteuren zu. Die neuen Angreifer entwickelten aber zusätzliche Programme, vor allem, um die Daten möglichst unbemerkt aus dem System ihres Ziels zu schleusen.

Sie verwendeten der ausführlichen Beschreibung der Sicherheitsforscher zufolge unter anderem Dropbox und OneDrive zum Speichern der erbeuteten Daten. Eset nimmt an, dass diese häufig genutzten Dienste herangezogen wurden, weil Datenverkehr damit dann weniger auffällt. Damit die Administratoren des Ziels nicht gleich auf das Ausschleusen aufmerksam wurden, waren die Informationen verschlüsselt. Ein weiterer Dienst, der für den Angriff missbraucht wurde, ist Github.

Dort diente ein privates Repository als Command & Control-Server für die Attacken. Mit immer wieder neu geschlossenen Pull-Requests verschleierte CeranaKeeper seine Aktivitäten. Dafür geschriebene Tools tauchten auf Github noch im Februar 2024 auf, die Angriffe dauerten also mindestens über ein halbes Jahr an. Eines der neuen, nicht von Mustang Panda genutzten Tools, heißt "BingoShell".

Die Kontaktdaten aller rund 65.000 Mitarbeiter der niederländischen Polizei sind nach offiziellen Angaben wohl in die Hände eines ausländischen Staates geraten. Ermittlungen der Geheim- und Sicherheitsdienste hielten es für "sehr wahrscheinlich", dass ein fremder Staat für den Cyberangriff in der vorigen Woche verantwortlich sei, teilte Justizminister David van Weel dem Parlament in Den Haag mit.

Anzeige

Wie vergangene Woche bekanntgeworden war, waren Hacker in einen Polizeicomputer eingedrungen und hatten so die Kontaktdaten aller Polizeimitarbeiter erbeutet. Es seien E-Mail-Adressen, Namen und Positionen der "gesamten Organisation" abgeschöpft worden, hatte der Minister für Justiz und Sicherheit, David van Weel, dem Parlament in Den Haag der Nachrichtenagentur ANP zufolge mitgeteilt.

Unter den Betroffenen sind auch verdeckt tätige Mitarbeiter. "Es gibt bestimmte Gruppen, denen wir jetzt besondere Aufmerksamkeit widmen, darunter auch verdeckt arbeitende Personen", hatte der Minister demnach erklärt. Einzelheiten dazu wollte Van Weel laut ANP "aus Sicherheitsgründen" nicht nennen. Es seien aber keine Daten zu polizeilichen Ermittlungsvorgängen abgeflossen.

Nach Angaben von Polizeipräsidentin Janny Knol war ein Polizeikonto gehackt worden. Die genaue Zahl der Betroffenen wurde in dem Zusammenhang nicht genannt. Laut dem Jahresbericht des Ministeriums gab es Ende 2022 in den Niederlanden rund 64.000 Vollzeitstellen für Polizisten und andere Beschäftigte im Polizeibereich.

Der Verbraucherzentrale Bundesverband (vzbv) warnt aktuell vor dem Angebot online-wohngeld.de. Das erweckt demnach den Eindruck, dass Interessierte dort Wohngeld beantragen könnten. Dem ist nicht so, zudem kostet das auch noch Geld, erklärt der vzbv.

Anzeige

Auf der Webseite der Verbraucherzentrale NRW erörtert der vzbv, dass die Webseite mit "Wohngeld jetzt online beantragen" Verbraucherinnen und Verbraucher glauben lässt, dass sie dort Wohngeld beantragen können. Es werde aber nicht deutlich, dass im Anschluss eine Rechnung in derzeitiger Höhe von 29,99 Euro zu begleichen sei und der Antrag gar nicht an eine zuständige Behörde weitergeleitet werde. Am Ende ist das Geld futsch, und Bedürftige haben gar keinen Antrag auf Wohngeld gestellt.

"Die angeblichen Anträge werden vom Betreiber der Website, der SSS-Software Special Service GmbH, an das Bauministerium (BMWSB) weitergeleitet. Nach Angaben des BMWSB sind dort bereits tausende Anträge per Post eingegangen. Allerdings ist das Ministerium nicht zuständig und wird diese Anträge nicht bearbeiten", erklären die Verbraucherschützer. Der Bundesverband der Verbraucherzentralen warnt konkret, weil kein Antrag bei der zuständigen Wohngeldbehörde gestellt wird. Die Webseitenbetreiber behaupten, es würden "formlose fristwahrende Erstanträge" erstellt. Diese Einschätzung teilt der vzbv nicht, die Webseite helfe nicht bei der Wahrung von Fristen.

Außerdem lasse sich bei normaler Bildschirmauflösung der Preis nicht wahrnehmen, sondern potenzielle Interessenten würden eher oben auf der Seite direkt auf "Jetzt beantragen" klicken. Daraufhin scrollt die Seite zum Eingabeformular hinunter. Der Preis wird in der Nähe der Schaltfläche "kostenpflichtig bestellen" nicht genannt. Eine klare Kommunikation, was die Webseite für Nutzerinnen und Nutzer leiste, finde nicht statt.

Heutzutage ist es einfach, bestehende Services in einer Cloud zu nutzen. Diese Cloud-Umgebung sicher, vollautomatisiert, stabil und wartungsarm aufzubauen, erfordert jedoch viel Wissen und Erfahrung. Denn bereits die ersten Technologie- und Architekturentscheidungen entscheiden über Erfolg oder Misserfolg des Projekts. Erschwerend kommt hinzu, dass es sehr viele Cloud-Anbieter mit einer Vielzahl von Service-Angeboten gibt.

Anzeige

In dem Hands-On Powerkurs – Aufbau einer Cloud-native-Umgebung lernen Sie, wie Sie eine IT-Infrastruktur und Anwendungsarchitektur entwerfen und umsetzen, die speziell für den Einsatz in der Cloud optimiert ist. Dies umfasst die Gestaltung und Bereitstellung von Anwendungen, die Cloud-Technologien wie Microservices, Container, Continuous Delivery und skalierbare Infrastrukturen nutzen. Dazu erstellen Sie unter Anleitung von Victor Getz eine komplette, produktiv nutzbare und dynamisch konfigurierbare Cloud-Umgebung auf Basis eines hochverfügbaren Kubernetes-Clusters und automatischer Skalierung.

Dieser Workshop richtet sich an Personen, die in den Bereichen DevOps und CloudOps arbeiten und ist sowohl für Anfänger als auch für Anwender geeignet und behandelt Best Practices für CloudOps einschließlich Terraform, Kubernetes und GitOps.

Victor Getz ist der CTO von iits-consulting und seit über 10 Jahre in der Softwareentwicklung tätig. Als Cloud-Architekt erstellte er bereits eine Vielzahl von Cloud-Architekturen und begleitete deren Migrationen.

Auf dem Portal Polizei-Praevention.de warnt das LKA Niedersachsen aktuell vor der Betrugsmasche mit Erpresser-E-Mails, bei denen die Täter behaupten, angeblich kompromittierende Aufnahmen des Opfers zu besitzen. Sie drohen damit, diese vermeintlichen Aufnahmen zu veröffentlichen und verlangen ein Lösegeld.

Anzeige

Die Kriminalbeamten erklären in der Warnung, dass diese Betrugsmasche seit 2018 ständig auftritt. In diesen Spam-artig versendeten Mails behaupten die Täter meist, den Mailaccount der angeblichen Opfer oder sogar ihre Rechner mit Spyware infiziert zu haben. Dadurch hätten sie die Opfer insbesondere beim Besuch pornografischer Webseiten beobachtet und dabei aufgezeichnet. In einigen Fällen stehen in den Erpresser-Mails sogar korrekte Passwörter oder postalische Anschriften. Und laut LKA Niedersachsen ist die Variante, dass die Betrüger Bilder aus der konkreten Umgebung der Opfer mitschicken, nicht mehr nur auf die USA beschränkt.

"Diese Maßnahmen treffen die Täter, damit Sie als Empfänger die Behauptungen aus der Mail glauben, Angst bekommen und den geforderten Betrag in Bitcoins oder anderen Cryptowerten bezahlen", erklären die Beamten. Solche Daten stammten jedoch in der Regel aus kopierten Datenbanken etwa bei Onlineshops oder anderen Firmen, ergänzen die Niedersachsen. Auch das Abgreifen solcher Informationen etwa durch Fake-SMS wie gefälschten Paket- oder Zoll-Benachrichtigungen und der daraus erfolgten Eingabe von Echtdaten durch Empfänger könne eine Quelle sein.

Aufhänger für die jetzige Warnung ist eine konkrete betrügerische E-Mail, die die Strafverfolger erhalten haben. Allerdings gehe es nicht um die Warnung vor einer konkreten neuen Welle, sondern darum, dass diese Betrugsmasche beständig auftritt. Die Beamten raten Empfängern dieser Mails dazu, nicht darauf zu antworten und auch kein Geld zu zahlen. Auch dann nicht, wenn die Mail persönliche Daten enthält. Sofern genannte Daten wie Passwörter konkreten Konten zuzuordnen sind, sollen Empfänger dort das Kennwort ändern und idealerweise Zwei-Faktor-Authentifizierung aktivieren, oder gar auf Passkeys umstellen. Ob das eigene E-Mail-Konto in solchen Datenlecks auftaucht und daher Zeil von solchem Spam ist, lässt sich mit dem Identity Leak Checker des Hasso-Plattner-Instituts oder beim Have-I-been-Pwned-Projekt überprüfen.

Wenn Windows sich seltsam verhält und der Verdacht auf Virenbefall besteht, liegen die Nerven verständlicherweise blank. Doch keine Panik: Mit dem neuen c't-Sicherheitstool Desinfec't 2024/25 machen Sie Trojanern den Garaus und kopieren Ihre wichtigsten Daten von einem nicht mehr startenden PC auf einen USB-Stick. Die aktuelle Ausgabe von Desinfec't ist ab sofort erhältlich.

Anzeige

Nach dem Kauf laden Sie das Sicherheitstool herunter und installieren es auf einem USB-Stick. Das ist gar nicht schwer und im Heft hilft Ihnen dabei eine bebilderte Schritt-für-Schritt-Anleitung. Weil Desinfec't auf dem Live-Linux-System Ubuntu 22.04.5 LTS basiert, starten Sie Ihren Computer direkt vom Stick. Das bringt den großen Vorteil mit sich, dass mögliche Trojaner in einem inaktiven Windows stillgelegt sind. Demzufolge scannen Sie das System ohne Risiko.

Schlagen die integrierten Scanner von etwa Eset und WithSecure Alarm, können Sie die Funde in der Ergebnisliste begutachten und zur Prüfung von möglichen Fehlalarmen zum Onlineanalysedienst Virustotal hochladen. Damit aktuelle Viren nicht durchrutschen, sind ein Jahr lang gratis Signaturupdates inklusive. Natürlich können Sie Trojaner auch mit wenigen Mausklicks unschädlich machen.

Wer sich nicht so gut mit Computern auskennt, nutzt einfach den Easy Scan. In diesem Modus startet Desinfec't ohne Umwege einen Scan mit Eset und nichts lenkt davon ab. Wer gar nicht weiterkommt, ruft über den integrierten Fernwartungsclient den Familienadmin zu Hilfe.

Podcast-Host Sylvester konstatiert "schwärende Eiterbeulen der IT-Security", und derer gleich mehrere. Was den c't-Redakteur zu dieser blumigen Formulierung verleitete (Spoiler: Es hat mit einem Softwarekonzern aus Redmond zu tun), erfahren Hörer in der News-Episode 15 des Podcasts von heise Security. Aber auch die Gefahren bei der Übermittlung konspirativer Nachrichten und Seitenkanal-belauschbare Sicherheitsschlüssel kommen nicht zu kurz.

Anzeige

In der Groupware Zimbra klafft eine Sicherheitslücke, die das Einschleusen und Ausführen von Schadcode ermöglicht. Angreifer missbrauchen die Schwachstelle bereits in freier Wildbahn. IT-Verantwortliche mit Zimbra-Installationen sollten die bereitstehenden Aktualisierungen zügig installieren.

Anzeige

Die IT-Sicherheitsforscher von Proofpoint haben Informationen auf X zu den Angriffen auf die Zimbra-Lücke veröffentlicht. Demnach haben die Angriffe auf die Schwachstelle mit der CVE-Nummer CVE-2024-45519 bereits am 28. September begonnen. Angreifer haben dabei E-Mails mit gefälschter Gmail-Absenderadresse an gefälschte E-Mail-Adressen im CC:-Feld geschickt und so versucht, Zimbra sie verarbeiten und als Befehle ausführen zu lassen. Die Adressen enthielten Base64-kodierte Zeichenketten, die mit sh an der Shell ausgeführt werden. Der eigentliche Schadcode stammt von demselben Server, von dem auch die Exploit-E-Mails stammen. Die Ursache dafür hat Proofpoint noch nicht herausgefunden. Die Zuordnung der Angreifer zu bekannten kriminellen Gruppierungen ist derzeit ebenfalls noch unklar.

Einige E-Mails vom gleichen Versender haben eine Reihe von CC:-Adressen genutzt und versucht, damit eine Webshell auf verwundbaren Zimbra-Servern einzurichten. Die komplette CC:-Liste ist in einen String verpackt. Sofern man die Base64-Blobs verbindet, dekodieren sie in einen Befehl, der eine Webshell in die Datei /jetty/webapps/zimbraAdmin/public/jsp/zimbraConfig.jsp schreibt. Die Webshel selbst hört auf eingehende Verbindungen mit einem bestimmten JSESSIONID-Cookie-Feld. Sofern das vorhanden ist, verarbeitet die Webshell das JACTION-Cookie und sucht nach Base64-kodierten Befehlen.

Die Webshell kann Befehle mittels exec ausführen oder Dateien über eine Socket-Verbindung herunterladen und ausführen, schließt die Proofpoint-Analyse. Interessierte finden mehr Details bei Projectdiscovery. Die IT-Forscher analysieren in einem Blog-Beitrag die Sicherheitslücke in Zimbra und stellen anhand der Funde die Entwicklung eines Exploits vor. Der funktioniert erst, nachdem die IT-Analytiker die Option "postjournal" aktiviert haben, was standardmäßig offenbar nicht der Fall ist.

Die Ermittlergruppe Cronos rund um die britische NCA und das US-Justizministerium meldet erneut Erfolge im Kampf gegen die Ransomware-Bande Lockbit. Die Strafverfolger veröffentlichten mittels Pressemitteilung und Darknet-Leaksite Details zu Festnahmen, Beschlagnahmungen und Sanktionen. An mehreren Orten nahmen Fahnder Lockbit-Affiliates fest, also selbstständige Kriminelle, die die Software und Infrastruktur der Bande gegen einen Anteil an Lösegeldern nutzen durften.

Anzeige

In Frankreich ging den Fahndern ein, so die Mitteilung, "großer Lockbit-Akteur" ins Netz. Der Person, deren persönliche Daten die französischen Behörden nicht veröffentlichten, wurde offenbar ein Urlaub außerhalb Russlands zum Verhängnis, ihr droht nun die Auslieferung nach Frankreich. Es soll sich um einen der Entwickler der Ransomware handeln.

Zwei Festnahmen im Zusammenhang mit der Ransomware-Bande meldet die britische NCA aus ihrem Heimatland. Den Verdächtigen wird vorgeworfen, an Erpressung und Geldwäsche für die Lockbit-Bande mitgewirkt zu haben – die Ermittler geben an, durch die im Februar erbeuteten Lockbit-Daten auf die Spur der Männer gekommen zu sein.

Die spanische Guardia Civil griff unterdessen am Flughafen Madrid zu: Sie nahm den Betreiber eines "Bullet Proof Hosters", der den Betrieb von Lockbit-Servern in seinem Rechenzentrum ermöglicht hatte, fest. Insgesamt neun Server beschlagnahmte die Guardia Civil und erlangte so Informationen über die Bande und ihr Vorgehen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt die Nutzung von Passkeys und hat zur Erlangung eines Lagebilds eine Umfrage unter Verbrauchern zum Thema Passkeys in Auftrag gegeben. Sie zeige eine positive Nutzerresonanz, allerdings auch Nachholbedarf bezüglich der Bekanntheit.

Anzeige

Deutschlands oberste IT-Sicherheitsbehörde erörtert, dass gestohlene oder erratene Passwörter Identitätsdiebstahl von Verbraucherinnen und Verbrauchern oder sogar Zugang zu Unternehmensnetzwerken ermöglichen. Nutzernamen-Passwort-Kombinationen gelten daher inzwischen als unsicher, während Zwei-Faktor-Authentifizierung etwas Milderung verschaffen könne, aber von vielen als umständlich empfunden werde. Das BSI sieht in Passkeys die Lösung für das Problem, sie bieten ein deutlich höheres Sicherheitsniveau als herkömmliche Verfahren.

Von den Befragten kannten immerhin 38 Prozent den Begriff Passkeys. Lediglich 18 Prozent setzen sie jedoch auch ein. Diejenigen, die Passkeys bereits einsetzen, haben zu 72 Prozent ein hohes oder sehr hohes Vertrauen in das Verfahren. Wer es nutzt, mag es auch: Die unkomplizierte Einrichtung, die schnelle Anmeldung und die hohe Nutzungsfreundlichkeit werten sie positiv, fasst das BSI auf der Webseite mit den Umfrageergebnissen zusammen.

Die Option für die Nutzung von Passkeys ist der Umfrage zufolge "für Verbraucherinnen und Verbraucher schwer zu erkennen und wird deshalb oft mit anderen Verfahren verwechselt", schreibt das BSI. Daher müssten Anbieter hierüber besser informieren und aufklären.