Comretix Blog

Wir bieten aktuelle Informationen über uns und aus der IT Welt.

97 Prozent der Großunternehmen melden Cyber-Vorfälle

Mit der Digitalisierung der Geschäftswelt nimmt auch die Angriffsfläche für Cyberattacken stetig zu. So gut wie jede Firma war schon mindestens einmal betroffen, wie eine aktuelle Befragung von Deloitte zeigt: 97 Prozent der Befragten im DACH-Raum gaben an, im vergangenen Jahr mindestens einen Cybervorfall ihres Unternehmens „gemeldet“ zu haben.

Über 60 Prozent berichten sogar von sechs oder mehr solcher Angriffe. In Deutschland, Österreich und der Schweiz gelten verschiedene Meldepflichten für Cyberangriffe und Datenschutzvorfälle. Für den Deloitte Global Future of Cyber Survey 2024 wurden weltweit knapp 1.200 Führungskräfte befragt, davon 101 aus dem DACH-Raum. Alle befragten Unternehmen weisen mehr als 1.000 Mitarbeitende und einen Jahresumsatz von mindestens 500 Millionen US-Dollar auf.

Risiko-Ranking

Als kritischste Akteure nehmen die meisten Befragten (21 Prozent) Cyberkriminelle wahr, gefolgt von Cyberterroristen (17 Prozent) und Mitarbeitenden mit böswilligen Absichten (13 Prozent). 12 Prozent betrachten andere Staaten als stärkste Cyberbedrohung für ihr Unternehmen. Dabei ist die Sorge vor Angriffen, die zum Verlust von Daten (34 Prozent) führen, und vor Phishing, Malware und Ransomware (33 Prozent) am stärksten, gefolgt von groß angelegten Advanced-Persistent-Threat-Angriffen (18 Prozent).

Die negativen Folgen, die Unternehmen bereits durch Cyberattacken erfahren haben, seien immens, so die Studie weiter. So gaben fast alle Befragten an von Reputationsverlust (95 Prozent), Umsatzeinbußen (92 Prozent), Kurseinbrüchen (95 Prozent) oder auch Bußgeldern (94 Prozent) betroffen gewesen zu sein.

Verstärkte Investitionen

Der Absicherung ihrer digitalen Infrastrukturen messen die Unternehmen im DACH-Raum laut Studie einen hohen Stellenwert bei: 67 Prozent der Befragten planen ihre Ausgaben für Cybersicherheit in den nächsten ein bis zwei Jahren weiter zu erhöhen. Dieser Wert liegt deutlich über dem globalen Durchschnitt von 57 Prozent, den die Studienmacher ermittelt haben.

Weiterlesen
  18 Aufrufe

Anonymisierendes Linux: Tails 6.9 aktualisiert Kernkomponenten

Die Tails-Maintainer haben Version 6.9 der anonymisierenden Linux für den USB-Stick in der Hostentasche veröffentlicht. Größere Neuerungen gibt es nicht, aber die wichtigen Kernkomponenten bringt das Update auf den aktuellen Stand.

Anzeige

In der Versionsankündigung vom Tails-Projekt listen die Entwickler die neuen Versionen der zentralen Software auf. Der Tor Browser kommt nun mit Versionsnummer 14.0.1 mit, der Tor Client hingegen ist auf Stand 0.4.8.13 dabei. Das Mailprogramm Thunderbird liegt nun in der Extended-Stable-Version 115.16.0 vor.

Einen kleineren Fehler haben die Entwickler von Tails dennoch behoben. Bei automatischen Upgrades konnte es zu einem Abbruch mit der Fehlermeldung "The Upgrade could not be downloaded" ("Das Upgrade konnte nicht heruntergeladen werden") kommen. Und das trotz zuvor erfolgreichem Download. Das passiert nun nicht mehr, erörtern die Programmierer.

Weitere Änderungen nennen die Projekt-Maintainer nicht. Wie immer ist das aktuelle Abbild von Tails zum Installieren auf USB-Stick auf einer eigenen Download-Seite verfügbar, während das Tails-ISO-Image zum Brennen auf DVD oder zur Nutzung in einer virtuellen Maschine auf einer anderen Webseite zum Herunterladen bereitsteht.

Weiterlesen
  23 Aufrufe

„Pacific Rim“-Report: riesiges, gegnerisches Angriffs-Ökosystem

Im Fokus der Attacken standen dabei Cybersicherheits-Perimetergeräte. Die Angreifer nutzten eine Reihe von Kampagnen mit neuartigen Exploits und maßgeschneiderter Malware, um Tools zur Durchführung von Überwachung, Sabotage und Cyberspionage einzubetten, die sich zudem mit Taktiken, Tools und Verfahren (TTPs) bekannter chinesischer Nationalstaatsgruppen wie Volt Typhoon, APT31 und APT41 überschnitten. Die Gegner nahmen vor allem in Süd- und Südostasien sowohl kleine als auch große kritische Infrastrukturen und Regierungsziele ins Visier, darunter Kernenergielieferanten, den Flughafen einer Landeshauptstadt, ein Militärkrankenhaus, den Staatssicherheitsapparat und zentrale Ministerien.

Im gesamten pazifischen Raum arbeitete Sophos X-Ops, die Cybersicherheits- und Threat-Intelligence-Abteilung des Unternehmens, daran, die Bewegungen der Gegner zu neutralisieren sowie Verteidigungs- und Gegenoffensiven kontinuierlich weiterzuentwickeln. Nachdem Sophos erfolgreich auf die ersten Angriffe reagiert hatte, verstärkten die Gegner ihre Bemühungen und holten erfahrenere Operatoren hinzu. Im Lauf der anschließenden Auseinandersetzung entdeckte Sophos ein riesiges, gegnerisches Cybercrime-Ökosystem.

Angreifer legen Fokus auf Kompromittierung von ungepatchten oder End-of-Life-Geräten

Während Sophos seit 2020 immer wieder Details zu einzelnen Kampagnen aus den Angriffswellen veröffentlichte, darunter Cloud Snooper und Asnarök, teilt das Unternehmen nun die Gesamtanalyse der letzten fünf Jahre, um das Bewusstsein für die Hartnäckigkeit chinesischer Nationalstaatgegner und deren absoluten Fokus auf die Kompromittierung von ungepatchten oder End-of-Life-Geräten im Netzwerkperimeter; häufig über Zero-Day-Exploits, die speziell für diese Geräte entwickelt wurden. Die Security-Experten raten alle Organisationen, mit absoluter Priorität Patches für Schwachstellen einzuspielen, die in ihren mit dem Internet verbundenen Geräten entdeckt wurden, sowie alle älteren, nicht mehr durch Updates unterstützte Geräte auf aktuelle Modelle zu migrieren.

Ross McKerchar, CISO bei Sophos. „Die Gruppen verschleiern und unterstützten ihre Attacken durch sogenannte Operational Relay Boxes (ORB), die zum Beispiel über kompromittierte IoT-Geräte zum Einsatz kommen. Im Mittelpunkt der Aktivitäten steht die direkte Spionage oder die indirekte Ausnutzung von Schwachstellen für zukünftige Angriffe mit entsprechenden Kollateralschäden, da auch Organisationen getroffen werden, die ursprünglich keine Zielscheibe waren. Für Unternehmen entwickelte Netzwerkgeräte sind besonders attraktive Ziele für diese Zwecke – sie sind leistungsstark, immer aktiv und verfügen über ständige Konnektivität. Als eine Gruppe, die ein globales ORB-Netzwerk aufbauen wollte, einige unserer Geräte ins Visier nahm, reagierten wir mit der Anwendung derselben Erkennungs- und Reaktionstechniken, die wir zum Schutz unserer Unternehmensendpunkte und Netzwerkgeräte verwenden. Dies ermöglichte es uns, die Vorgänge zu stoppen und auf wertvolle Bedrohungsinformationen zuzugreifen, die wir nutzten, um unsere Kunden zu schützen.“

Ziele sind oft die schwächsten Glieder der Lieferkette

Jüngste Hinweise der CISA (Cybersecurity and Infrastructure Security Agency) haben deutlich gemacht, dass chinesische Nationalstaatgruppen zu einer ständigen Bedrohung für die kritische Infrastruktur vieler Nationen geworden sind“, so McKerchar weiter. „Was wir oft vergessen, ist, dass kleine und mittlere Unternehmen – also diejenigen, die den Großteil der Lieferkette für kritische Infrastrukturen ausmachen – Ziele sind, da sie oft die schwächsten Glieder in diesem Geschäftssystem sind. Leider verfügen diese Organisationen oft über weniger Ressourcen, um sich gegen solch komplexe Bedrohungen zu verteidigen. Erschwerend kommt hinzu, dass die aktuellen Gegner dazu neigen, sich heimlich in Systemen einzunisten und auf Schleichfahrt im Netzwerk zu gehen. Das macht es sehr schwierig, sie zu entdecken und zu vertreiben – und sie werden nicht aufhören, bis sie gestört werden.“

Weiterlesen
  18 Aufrufe

Microsoft modernisiert Windows Hello

Microsoft arbeitet an der Verbesserung der Zugriffssteuerung mit Windows Hello. Nun ist auch eine optische Frischzellenkur fällig. Sie lässt sich in der Windows-Insider-Vorschau von Windows 11 im Beta-Kanal bestaunen.

Anzeige

Microsoft zeigt vorab die Windows-Hello-Dialoge in neuer Optik. Etwa die Möglichkeiten zur Authentifizierung mit Passkeys sollen intuitiver werden.

(Bild: Microsoft)

In einem Blog-Beitrag zur Ankündigung der Windows-Vorschau-Version stellen die Entwickler von Microsoft die Neuerungen vor. "Bei Microsoft sind wir der Sicherheit und Verbesserung der Nutzererfahrungen verpflichtet. Als Teil dieser Verpflichtung haben wir im September 2023 erweiterte Passkey-Funktionen gestartet und sind nun dabei, die Nutzererfahrung von Windows Hello umzugestalten", erklären die Programmierer. Dies sei eine signifikante Änderung an Windows Hello und richte es an zeitgemäßen visuellen Windows-Design-Standards aus. Das Hauptaugenmerk liege darauf, Authentifizierung intuitiv und nahtlos zu gestalten.

Weiterlesen
  16 Aufrufe

Latrodectus: Gefährlicher Nachfolger von IcedID

Forscher von Walmart entdeckten die Schadsoftware erstmals im Oktober 2023. Sie dient als Ersatz für die IcedID-Malware und wird von Bedrohungsakteuren wie TA577 und TA578 intensiv genutzt. Sie fungiert als Loader-Malware, deren Anfangsmodul an die Opfer verteilt wird und die für das Herunterladen und Installieren der nachfolgenden Stufen der Payload verantwortlich ist.

Latrodectus wird über Phishing-Kampagnen verbreitet. Während der Analyse wurde festgestellt, dass viele auf MalwareBazaar verfügbare Beispiele als legitime DLLs von Drittanbietern getarnt waren, was darauf hindeutet, dass sie auch über Malvertising und SEO-Poisoning verbreitet werden können. Die Schadsoftware wird oft über Antwortketten-Phishing-E-Mails eingeschleust, die gestohlene E-Mail-Konten nutzen, um bösartige Anhänge oder Links zu verteilen.

Die Infektionskette beginnt mit dem Download einer getarnten JavaScript-Datei, die zusätzliche bösartige Nutzdaten wie EXE- und DLL-Dateien lädt. Diese Dateien geben sich oft als legitime Software (z. B. Nvidia, Avast) aus, um unauffällig zu bleiben. Nach der Installation ermöglicht Latrodectus Angreifern über eine Hintertür den Fernzugriff und die Ausführung von Befehlen. Zusätzlich verfügt die Malware über Erkennungstechniken, die Sandbox-Umgebungen umgehen, und nutzt RC4-Verschlüsselung zur Verschleierung ihres Datenverkehrs. Latrodectus fungiert auch als Plattform für weitere Malware wie IcedID und Danabot.

Latrodectus ist aufgrund seiner Verbindungen zu bekannten Bedrohungsakteuren eine bedeutende Gefahr. Sie kann zusätzliche Malware-Nutzdaten herunterladen und sich herkömmlichen Erkennungsmethoden entziehen, was sie besonders gefährlich macht. Durch den Einsatz von Phishing- und „living-off-the-land“-Techniken kann sie unerkannt operieren und Systeme kompromittieren. Um dies zu bekämpfen, können die oben erwähnten Erkennungsstrategien in Logpoint SIEM implementiert werden.

 

Weiterlesen
  13 Aufrufe

Okta: Sicherheitslücke in Verify gibt Angreifern Zugriff auf Passwörter

In der Gerätezugangs-steuerungssoftware Okta Verify Agent for Windows klafft eine Sicherheitslücke, die Angreifern das Abgreifen von Passwörtern ermöglicht. Ein Sicherheitsupdate steht bereit. IT-Verantwortliche sollten die Aktualisierung zeitnah verteilen.

Anzeige

Okta erörtert in einer Sicherheitsmitteilung, dass der Okta Verify Agent for Windows Zugriff auf die OktaDeviceAccessPipe bietet, wodurch Angreifer, die bereits Zugriff auf verwundbare Systeme haben, Passwörter abgreifen können, die zu Oktas Desktop MFA Passwordless Logins gehören (CVE-2024-9191, CVSS 7.1, Risiko "hoch"). Das ermöglicht unter Umständen erweiterten Zugriff auf das System oder auf weitere Netzwerkressourcen.

Die Schwachstelle betrifft ausschließlich den Agent for Windows, zudem muss die Funktion "Device Acess Passwordless" aktiviert sein. Wo die Funktion nicht genutzt und lediglich "FastPass" eingesetzt wird oder auf anderen Betriebssystemen sei der sicherheitsrelevante Fehler nicht vorhanden, bekräftigt der Hersteller.

Verwundbar ist Okta Verify for Windows ab Version 5.0.2 bis einschließlich 5.3.2. Okta empfiehlt, auf die korrigierte Version Okta Verify for Windows 5.3.3 zu aktualisieren. Die Early-Access-Version stand seit Mitte September bereit, die Release-Notes weisen den 18. Oktober für das Release aus, während die Sicherheitsmitteilung vom 25. Oktober für die allgemeine Verfügbarkeit spricht. Da Okta die Schwachstelle als hohes Risiko einstuft, sollten Admins die Aktualisierung der Gerätezugangskontrollsoftware zügig in ihren Netzen verteilen.

Weiterlesen
  6 Aufrufe

heise-Angebot: KRITIS: Spezielle Prüfverfahrenskompetenz für § 8a BSIG | iX-Workshop

Kritische Infrastrukturen (KRITIS) unterliegen nach § 8a Abs. 1 BSIG besonderen Sicherheitsanforderungen. Die Betreiber dieser Unternehmen und öffentlichen Einrichtungen sind verpflichtet, dem Bundesamt für Sicherheit in der Informationstechnik (BSI) regelmäßig nachzuweisen, dass ihre IT-Sicherheit dem aktuellen Stand der Technik entspricht. Dazu müssen sie angemessene organisatorische und technische Maßnahmen ergreifen, um Störungen zu vermeiden, die die Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität ihrer IT-Systeme gefährden können.

Anzeige

In unserem zweitägigen Workshop KRITIS: Spezielle Prüfverfahrenskompetenz für § 8a BSIG erhalten Sie einen umfassenden Überblick über die Anforderungen von KRITIS und können sich gezielt auf Prüfungen für § 8a BSIG vorbereiten. Nach bestandener Abschlussprüfung am Ende der Schulung erhalten die Teilnehmenden die Zusatzqualifikation "Spezielle Prüfverfahrenskompetenz für § 8a BSIG". Damit sind sie berechtigt, Sicherheitsprüfungen für § 8a BSIG im Auftrag des Bundesamtes für Sicherheit in der Informationstechnik durchzuführen.

Der Workshop wird von Andre Windsch geleitet. Als Senior Expert bei der HiSolutions AG verantwortet er dort das Themenfeld „Kritische Infrastrukturen“ nach BSI-Gesetz. In seinem Aufgabenbereich unterstützt er Betreiber Kritischer Infrastrukturen aus den unterschiedlichsten Branchen und Sektoren bei der Umsetzung der spezifischen Anforderungen.

Dieser iX-Workshop folgt dem BSI-Schulungskonzept und richtet sich insbesondere an Auditoren wie interne Revisoren, Revisoren, Wirtschaftsprüfer mit IT-Revisionserfahrung sowie Mitarbeitende von Revisionsgesellschaften und Betreibern kritischer Infrastrukturen. Um einen intensiven Austausch untereinander und eine optimale Vorbereitung auf die Prüfung und Zertifizierung zu ermöglichen, ist diese Schulung auf 12 Teilnehmende beschränkt.

Weiterlesen
  14 Aufrufe

Missing Link: Wie ein Unternehmen bei einem Cyberangriff die Kontrolle verlor

"Servus", grüßt er am Eingang. Dieser Tag wird ein guter für Immanuel Bär werden. Das Firmengelände kennt er von Satellitenaufnahmen, das Gebäude nur von außen. Tagsüber ist er zum ersten Mal hier. Zielstrebig und ohne, dass ihn jemand aufhält, geht er am Empfang vorbei und stößt die Tür zu einem Konferenzraum auf. "Guten Morgen, wir müssen hier mal kurz was überprüfen", sagt er zu einem Mitarbeiter. Ja, kein Problem, lautet die Antwort. Sekunden später ist Bär mit einem Firmennetzwerk verbunden und hat die ersten Daten auf seinem Bildschirm.

Anzeige

Der Angestellte tippt weiter auf seiner Tastatur und lässt den Fremden mit Laptop und LAN-Kabel auf dem Arm arbeiten. Zwischenzeitlich beantwortet er hilfsbereit die eine oder andere Frage. Was er nicht ahnt: Immanuel Bär ist weder ein Kollege noch soll er etwas an der IT-Infrastruktur überprüfen. Der höflich-souveräne Mann mit dem gemusterten Hemd ist ein Einbrecher. Sein Begehren: die volle Kontrolle der Unternehmens-IT. Sein Vorgehen: riskant. Dreist. Im laufenden Betrieb. Seine Aktion: ein voller Erfolg.

Mit demonstrativer Selbstverständlichkeit geht der Eindringling am Empfang vorbei ins Gebäude.

(Bild: heise online/Midjourney)

Weiterlesen
  19 Aufrufe

Sicherheitsupdates: Schadcode-Attacken auf Synology-NAS möglich

Aufgrund von zwei Softwareschwachstellen können Angreifer unter anderem Netzwerkspeicher (NAS) der BeeStation-Serie von Synology attackieren. Mittlerweile sind Sicherheitsupdates verfügbar.

Anzeige

Wie Synology in zwei Warnhinweisen zu Synology Photos und BeePhotos schreibt, stufen sie die Sicherheitslücken als "kritisch" ein. CVE-Nummern nennen sie aber nicht. Wie aus den Beiträgen hervorgeht, haben Sicherheitsforscher im Zuge des Hackerwettbewerbs Pwn2Own Irland die Lücken entdeckt und erfolgreich attackiert.

In beiden Fällen kann Schadcode auf Systeme gelangen und sie kompromittieren. In einem Fall sollen entfernte Angreifer die Authentifizierung umgehen können. Wie die Attacken im Detail ablaufen, ist bislang unklar. Synology nennt derzeit keine Hinweise auf Angriffe. Zurzeit gibt es keine Informationen dazu, wie NAS-Besitzer bereits attackierte Geräte erkennen können.

Um NAS-Geräte gegen die geschilderten Attacken abzusichern, müssen Admins die folgenden Versionen installieren:

Weiterlesen
  29 Aufrufe

Nvidia ConnectX, BlueField: Angreifer können Daten manipulieren

Damit Attacken ins Leere laufen, sollten Admins für das Netzwerkadapter ConnectX und die Computing-Plattform BlueField von Nvidia zeitnah eine aktuelle Firmwareversion installieren. Darin haben die Entwickler zwei Sicherheitslücken geschlossen.

Anzeige

In einer Warnmeldung schreiben sie, dass Angreifer durch ein erfolgreiches Ausnutzen der Schwachstellen (CVE-2024-0105 "hoch", CVE-2024-0106 "hoch") unter anderem Abstürze auslösen und Daten manipulieren können.

Zu möglichen Abläufen von Attacken ist derzeit nichts bekannt. Berichte zu laufenden Attacken gibt es bislang nicht. Folgende Produkte sind konkret bedroht:

ConnectX4ConnectX4LXConnectX GAConnectX LTS22ConnectX LTS23BlueField 1BlueField GABlueField LTS22BlueField LTS23

Diese Versionen sind gegen die geschilderten Attacken abgesichert:

Weiterlesen
  30 Aufrufe

Microsoft: Supportverlängerung für Windows 10 auch für Privatanwender

Das Support-Ende von Windows 10 nähert sich mit großen Schritten – in einem Jahr, am 14. Oktober 2025, ist es so weit. Unternehmenskunden können sich wie schon bei den älteren Windows-Versionen wie Windows 7 und 8 im Rahmen des Extended-Security-Updates-Programms (ESU) verlängerte Update-Unterstützung mit Sicherheitsflicken kaufen. Erstmals bietet Microsoft das auch Privatanwendern an.

Anzeige

In einem Blog-Beitrag hat Microsoft erneut das Support-Ende von Windows 10 in Erinnerung gerufen. Sehr länglich beschreiben die Redmonder darin, welche Optionen es zum Windows-11-Umstieg gibt und preist die Vorteile der aktuelleren Windows-Version an.

Ganz am Ende des Beitrags findet sich der Hinweis auf die Extended Security Updates. Damit ausgestattete PCs erhalten weiterhin kritische und wichtige Sicherheits-Updates, erklärt das Unternehmen, jedoch keine neuen Funktionen, Bug-Fixes oder technischen Support. "Und zum ersten Mal überhaupt stellen wir ebenfalls ein ESU-Programm für die private Nutzung an", schreibt Microsoft. "Das ESU-Programm für Verbraucher wird eine Ein-Jahres-Option für 30 US-Dollar sein. Das Programm wird kurz vor Ende des Support-Zeitraums 2025 verfügbar werden".

Das Extended-Security-Updates-Programm für Windows 10 wird nach bisherigem Stand ein Windows-10-System mit dem Stand 22H2 voraussetzen. Business-Kunden können bis zu maximal drei Jahre Supportverlängerung kaufen, spätestens im Oktober 2028 ist dann das absolute Support-Ende von Windows 10. Damit ausgestattete PCs funktionieren zwar weiterhin, Sicherheitslücken bleiben darin jedoch offenstehen. Cyberkriminelle nutzen diese regelmäßig aus, um ihre Rechte in Systemen auszuweiten, sich einzunisten oder in Netzwerken fortzubewegen, für Spionage oder etwa für Ransomware-Angriffe. Solche Systeme können daher aus Sicherheitsaspekten nur noch isoliert betrieben werden und sollten besser durch solche mit noch unterstützter Software ersetzt werden.

Weiterlesen
  30 Aufrufe

Cyberangriff auf Großhändler für Apotheken

Die AEP GmbH wurde am 28. Oktober Opfer eines gezielten Cyberangriffs, der zu einer teilweisen Verschlüsselung der IT-Systeme des Unternehmens führte. Firmeneigene Sicherheitssysteme hätten den Angriff erkannt. Darüber informiert das Unternehmen auf seiner Website.

Anzeige

AEP, mit Sitz in Alzenau, habe nach eigenen Angaben umgehend notwendige Schutzmaßnahmen ergriffen und "alle Außenverbindungen getrennt und alle betroffenen IT-Systeme heruntergefahren". Das Unternehmen, das laut DAZ über 6000 Apothekenkunden verfügt, arbeite derzeit mit Hochdruck und unter Mithilfe externer Experten an einer Lösung.

Mit Unterstützung der Experten wird derzeit das Ausmaß des Angriffs untersucht. Infolgedessen ist AEP aktuell telefonisch nicht und per E-Mail nur sehr eingeschränkt erreichbar. AEP will seine Kunden täglich über den aktuellen Stand informieren. Bisher gebe es keinen Hinweis auf einen Verlust der Daten, wie ein Unternehmenssprecher der Apotheke Adhoc mitgeteilt hat.

Apotheken haben bereits seit Jahren mit Lieferengpässen zu kämpfen, aktuell listet das vom Bundesinstitut für Arzneimittel und Medizinprodukte bereitgestellte Portal "PharmaNet.Bund", das auch Daten aus der Arzneimittel- und Antrags-Datenbank des Bundes enthält, rund 500 Arzneimittel auf, bei denen es Lieferschwierigkeiten gibt. Durch Cybervorfälle oder Ausfälle relevanter Dienste und Standorte – etwa auch durch Naturkatastrophen wie Helene – verschlimmert sich die Lage weltweit.

Weiterlesen
  27 Aufrufe

heise-Angebot: iX-Workshop: IT-Systeme absichern – Pentesting mit Open-Source-Werkzeugen

Hacken wie die Hacker: Im iX-Workshop Sich selbst hacken - Pentesting mit Open-Source-Werkzeugen lernen Sie, wie Angreifer vorgehen, um Fehlkonfigurationen und andere Schwachstellen in der Unternehmens-IT aufzuspüren und auszunutzen. Mit den gewonnenen Erkenntnissen fällt es Ihnen leichter, Ihre eigenen Systeme effektiv abzusichern.

Anzeige

Unter dem Stichwort OSINT (Open Source Intelligence) lernen Sie zunächst jene Techniken kennen, mit deren Hilfe sich öffentlich verfügbare Informationen über eine Organisation oder ein Unternehmen sammeln und auswerten lassen - und damit auch mögliche Hintertüren ins System, wie etwa kompromittierte Passwörter. Mit verschiedenen frei verfügbaren Open Source-Werkzeugen und Audit-Tools können im nächsten Schritt Untersuchungen auf Netzwerkebene durchgeführt, Web-Applikationen überprüft oder auch Möglichkeiten der Privilegien-Eskalation unter Windows und Linux aufgedeckt werden.

Ein Schwerpunkt des Workshops liegt auf der Überprüfung von Microsofts zentralem Verzeichnisdienst Active Directory, da dieser ein beliebtes Angriffsziel für Hacker ist. Erfahren Sie, wie Sie Schwachstellen in diesem zentralen Element der Unternehmens-IT aufdecken und gezielt beheben können. Ebenso kommen Maßnahmen wie die Implementierung einer Mehr-Faktor-Authentifizierung und die differenzierte Vergabe von Berechtigungen zur Sprache, um Ihre IT-Systeme effektiv abzusichern.

Als Referent steht Ihnen Philipp Löw, erfahrener Pentester bei der Oneconsult Deutschland AG, zur Verfügung. Profitieren Sie in diesem spannenden Workshop, von seinem Fachwissen und seinen praktischen Erfahrungen.

Weiterlesen
  23 Aufrufe

IBM behebt drei Jahre alte Sicherheitslücke in Business Automation Workflow

In verschiedenen Versionen des "IBM Business Automation Workflow" klaffte offenbar jahrelang aufgrund einer veralteten Javascript-Bibliothek eine Sicherheitslücke. Die hat IBM nun behoben und rät Nutzern zu Updates.

Anzeige

Das Dojo-Toolkit hatte bereits im Jahr 2021 eine kritische Sicherheitslücke, die das Einschleusen beliebigen Codes ermöglichte (CVE-2021-23450, CVSS 9,8/10). Bereits seinerzeit hatte IBM vor der Lücke gewarnt und auch Business Automation Workflow in der Liste der betroffenen Produkte aufgeführt. Erst jetzt gibt es jedoch Hinweise zur Behebung.

Da eine Vielzahl verschiedener Versionen und zwei Paketierungen der Software (ein "traditionelles" und ein Containerformat) existieren, ist die Liste der betroffenen Ausgaben unübersichtlich. IBM nutzt jedoch die Gelegenheit, um den Versions-Dschungel zu roden:

Anwendern der containerisierten Versionen 20.0.0.x, 21.0.x, 22.0.x oder 23.0.x rät IBM, entweder auf die reparierte Version 21.0.3-IF037 oder gleich auf den neuesten Versionsbaum 24.0.0-IF003 zu wechseln,wer die traditionelle Version 21.0.3.1 nutzt, soll den Hotfix DT394647 einspielen undNutzer traditioneller Versionen 18 bis 23 sollten sich um Ersatz der kompletten Umgebung bemühen.

Im detaillierten IBM-Sicherheitshinweis finden sich alle Versionsnummern und die passenden Reparaturmaßnahmen.

Weiterlesen
  30 Aufrufe

heise-Angebot: iX-Workshop: Aufgaben eines Informationssicherheitsbeauftragten

In einer Zeit, in der Informationssicherheit immer wichtiger wird, sind kompetente Informationssicherheitsbeauftragte (ISB) gefragter denn je. Sie spielen eine Schlüsselrolle, wenn es darum geht, Sicherheitsrisiken zu minimieren und den Schutz sensibler Daten zu gewährleisten. Mitarbeiter werden zu Informationssicherheitsbeauftragten (ISB) ernannt. Hierbei sollte für Leitung wie auch zukünftige Beauftragte klar sein, welche Erwartungen, Verantwortlichkeiten und Befugnisse mit der Rolle verbunden sind und welche Kompetenzen hierfür erforderlich sind.

Anzeige

Der Einstiegsworkshop Startklar: Ihre Rolle als Informationssicherheitsbeauftragte bietet einen umfassenden Überblick über die Aufgaben und Verantwortlichkeiten von ISBs, wie auch die Anforderungen, die an diese gestellt werden. Die Schulung erläutert zudem den Stellenwert des ISB im Unternehmen, sowie die notwendigen Rahmenbedingungen, die von der Organisationsleitung geschaffen werden müssen, damit ein ISB seine Rolle effektiv steuern und angehen kann.

Zu Beginn des Workshops werden Grundlagen zur Informationssicherheit und zum Informationssicherheitsmanagement vorgestellt. Wir stellen dar, weshalb die Tätigkeiten von ISBs in ein Managementsystem integriert sein sollten und wie diese arbeiten. Prototypisch orientieren wir uns an einem ISMS nach ISO 27001 als international führenden Standard.

Im weiteren Verlauf stellen wir Aufgaben und Verantwortlichkeiten sowie die Stellung innerhalb einer Organisation vor. Wir betrachten, welche Kenntnisse in Bezug auf Informationssicherheit, IT und soziale Fähigkeiten von Vorteil sind. Zudem werden die Schnittstellen des ISB zu internen und externen Akteuren, Teamarbeit, notwendige fachliche Kenntnisse und Soft-Skills besprochen. Der Workshop schließt mit einer Übersicht über relevante Schulungen und unterstützende Tools.

Weiterlesen
  0 Aufrufe

Büro am Freitag, den 1. November 2024, geschlossen…

Sehr geehrte Damen und Herren,

wir möchten Sie hiermit darüber informieren, dass unser Büro am kommenden Freitag (1. November 2024) aufgrund eines Feiertages (Allerheiligen) in Baden-Württemberg geschlossen bleiben wird.

Ab Montag (4. November 2024) sind wir dann wieder zu den gewohnten Bürozeiten für Sie erreichbar.

Vielen Dank für Ihr Verständnis!

Ihr mediDOK-Team

(Ursprünglich geschrieben von Lars Millermann)

  24 Aufrufe

Jetzt patchen! Ransomware-Attacken auf Server mit CyberPanel beobachtet

Derzeit haben es Angreifer der Ransomwarebande PSAUX auf Server mit dem Control Panel CyberPanel abgesehen. Mittlerweile haben die Entwickler einen Sicherheitspatch veröffentlicht. Admins müssen jetzt handeln.

Anzeige

Die Warnung vor den Attacken stammt aus dem Supportbereich der CyberPanel-Website. Das Problem sind öffentlich erreichbare Admin-Interfaces, an denen die Angreifer zwei "kritischen" Sicherheitslücken (CVE-2024-51567, CVE-2024-51568) ausnutzen.

Die Schwachstellen hat ein Sicherheitsforscher mit dem Pseudonym DreyAnd entdeckt. In einem Beitrag beschreibt er die Sicherheitsproblematik ausführlich. Bei seiner Untersuchung stieß er auf drei Kernprobleme: CyberPanel prüft die Authentifizierung nicht global, sondern für einzelne Unterseiten. Das führe dazu, dass bestimmte Bereiche nicht durch eine Authentifizierung geschützt sind. Zusätzlich werden Nutzereingaben nicht ausreichend bereinigt, sodass Befehle mit Schadcode durchkommen können. Außerdem waren Sicherheitsfilterregeln vergleichsweise einfach umgehbar.

Dadurch sind Attacken aus der Ferne ohne Authentifizierung möglich und Angreifer können mit Root-Rechten auf Server zugreifen. In so einer Position sind weitreichende Zugriffe möglich, und Angreifer können Systeme vollständig kompromittieren. Medienberichten zufolge haben die PSAUX-Angreifer bereits rund 22.000 Instanzen attackiert.

Weiterlesen
  31 Aufrufe

Qnap schließt NAS-Sicherheitslücke aus Hackerwettbewerb

Angreifer können an einer "kritischen" Sicherheitslücke in HBS 3 Hybrid Backup Sync ansetzen und sich auf NAS-Geräten von Qnap Admin-Rechte verschaffen. Nun haben die Entwickler die Schwachstelle geschlossen.

Anzeige

Die Backupsoftware wurde auf dem Hackerwettbewerb Pwn2Own Ireland 2024 von einem Teilnehmer erfolgreich attackiert. Wie der Veranstalter Trend Micro auf X mitteilt, war die Basis des Angriffs ein Command-Injection-Bug (CVE-2024-50388). Das hat dem Teilnehmer ein Preisgeld von 10.000 US-Dollar eingebracht.

Bislang gibt es keine Details, wie so ein Angriff im Detail ablaufen könnte. Wie aus einer Warnmeldung hervorgeht, hat der Hersteller vergleichsweise schnell reagiert und die Lücke geschlossen.

Wer ein Qnap-NAS besitzt, sollte im App Center sicherstellen, dass die gegen die geschilderte Attacke abgesicherte Version HBS 3 Hybrid Backup Sync 25.1.1.673 installiert ist.

Weiterlesen
  28 Aufrufe

Heise meets…. Explodierende Pager sind klassische Supply-Chain-Attacken

In eine Entwicklungsplattform von Cisco sei jemand eingestiegen und hat ein paar Daten abgezogen. Die wollte der Täter im Untergrund verkaufen. Dafür habe er von seinen Kumpels viel Beifall bekommen. Im Endeffekt war alles viel Wirbel um nichts.

Anzeige

Vielen Leaks fehle es an Substanz. Es werde viel geblufft, weiß Dr. Christopher Kunz von heise Security PRO. Kunz spricht aus Erfahrung. Als Redakteur recherchiert er regelmäßig im Darknet. Außerdem kennt er einschlägige Cybercrime- und Ransomware-Foren.

Sehr viel brisanter seien Supply-Chain-Attacken. Wie schwer sie zu verhindern sind und welchen physischen Schaden sie anrichten können, ist ein Riesenproblem. Die explodierenden Pager der Hisbollah sind ein krasses Beispiel.

Mit Ihrer Zustimmmung wird hier ein externer Podcast (Podigee GmbH) geladen. Podcasts immer laden

Ob Cybercrime, Daten-Leaks oder Supply-Chain-Attacken – als IT-Sicherheitsexperte ist Kunz täglich mit brisanten Themen befasst. Für die Arbeit in der c’t-Redaktion gelten dabei seit über 40 Jahren unverändert die gleichen Prinzipien: gründliche Recherche, kritische Analyse und verständliche Aufbereitung komplexer Inhalte. Nur die Kanäle ändern sich, wie Kunz im "heise meets"-Podcast erläutert.

Weiterlesen
  29 Aufrufe

Cisco: Brute-Force-Schutz für mehr ASA- und FTD-Versionen verfügbar

Seit im April vermehrt Password-Spraying- und Brute-Force-Attacken auf VPN-Log-ins vorkamen, hatte Cisco Tipps zur Absicherung von VPNs gegeben. Inzwischen hat Cisco die Anleitung mehrfach aktualisiert – und auch weitere Firmware-Versionen von ASA- und FTD-Appliances mit aktivierbaren Schutzfunktionen ausgestattet. Admins sollten sie kennen und aktivieren.

Anzeige

Die Anleitung mit den Tipps von Cisco gibt zunächst Einblick in das grundsätzliche Problem: Angreifer versuchen, unbefugten Zugriff zu Nutzerkonten zu erlangen, indem sie einige üblicherweise verwendete Passwörter für mehrere Konten ausprobieren. Schlimmstenfalls erlangen die Angreifer Vollzugriff und können betroffene Geräte vollständig kompromittieren, aber auch das Aufbrauchen von Ressourcen und ein damit einhergehender Denial-of-Service können die Folge sein. Andere Nutzerinnen und Nutzer können dann etwa VPN zum Netzwerkzugriff nicht mehr nutzen.

Um Angriffe etwa mittels Password-Spraying-Attacken zu erkennen, sei eine Überwachung der Systemprotokolle und der Einsatz bestimmter "show"-Befehle nötig. Etwa eine unüblich hohe Rate von zurückgewiesenen Authentifizierungsversuchen deute auf einen Angriff, was etwa durch die ASA-Syslog-IDs %ASA-6-113015, %ASA-6-113005 oder %ASA-6-716039 in den Protokollen auffällt.

Um solche Ereignisse zu sehen, muss zunächst das Logging aktiviert werden. Im zweiten Schritt soll die Konfiguration von den Bedrohungserkennungen für die VPN-Dienste (Remote Access VPN Services) erfolgen. Diese ermöglichen dann für IPv4-Verbindungen automatische Blockade nach Überschreiten einstellbarer Schwellwerte. Die neuen Erkennungen stehen bereit für "Repeated failed authentication attempts" (wiederholte fehlgeschlagene Authentifizierungsversuche), "Client initiation attacks" (Angreifer starten einen Verbindungsversuch, beenden ihn aber nicht) sowie "Connection attempts to invalid remote access VPN services" (Angreifer versuchen, auf Tunnel-Gruppen zu verbinden, die ausschließlich für interne Gerätefunktionen gedacht sind).

Weiterlesen
  27 Aufrufe

Die Comretix GmbH ist ein IT Systemhaus aus Tuttlingen. Seit über 30 Jahren betreuen wir unsere Kunden in Baden-Württemberg, der Schweiz und im gesamten Bundesgebiet mit Leidenschaft, Fairness und Loyalität. Wir bauen auf eine zuverlässige Partnerschaft mit unseren Lieferanten und Kunden. Unseren Mitarbeitern stehen wir auf Augenhöhe gegenüber.

Image