Microsoft Exchange Server: Nach dem Angriff ist vor dem Angriff

Derzeit werden tausende Microsoft Exchange Server mit Updates gepatcht. Die Sicherheitslücken, die in den vergangenen Wochen zuhauf beispielsweise von der Hackergruppe Hafnium ausgenutzt wurden, sollten damit behoben sein – für die betroffenen Unternehmen eigentlich ein Grund aufzuatmen, oder? Falsch, warnt Microsoft, denn kriminelle Hacker könnten sich unbemerkt in bereits kompromittierten Netzwerken festgesetzt haben. Mögliche Folgeangriffe sind daher nicht ausgeschlossen, insbesondere dann, wenn die Exchange Server bei der ursprünglichen Attacke mittels Web-Shell-Skript gekapert oder dabei Anmeldedaten erbeutet wurden.

Wie Microsoft in der vergangenen Woche mitteilte, sind mittlerweile 92 Prozent der für die Angriffe anfälligen Exchange Server gepatcht oder es wurden andere Sicherheitsvorkehrungen getroffen, um ein Eindringen von außen zu verhindern. Das sind zwar an sich gute Nachrichten, einer Untersuchung der Sicherheitsexperten von F-Secure zufolge wurden vorher allerdings bereits zehntausende Exchange Server kompromittiert. Genau diesen Unternehmen gilt Microsofts Warnung, denn ein eingespielter Patch entfernt nicht unbedingt die Eindringlinge, falls diese sich bereits im System festgesetzt haben.

In seinem Blog schreibt das Team von Microsoft 365 Defender Threat Intelligence, dass bei vielen der kompromittierten Systeme noch keine sekundäre Aktion, wie eine Ransomware-Attacke oder ein Datenklau, stattgefunden habe. Das deute darauf hin, dass die Angreifer sich einen Zugang verschafft haben, den sie sich für potenzielle spätere Aktionen offenhalten wollen.

Für Systemadministratoren der betroffenen Exchange Server bedeutet das, dass sie besonders vorsichtig sein müssen und Maßnahmen ergreifen sollten, um potenziellen Eindringlingen das Leben so schwer wie möglich zu machen. Dazu gehört beispielsweise ein strikter Gebrauch des Prinzips des geringstmöglichen Privilegs. Nutzer sollten also nur so viele Rechte eingeräumt bekommen, wie sie für die Erledigung ihrer Arbeit unbedingt brauchen. Dazu gehören auch Serviceaccounts für automatische und terminierte Aufgaben wie Back-ups, die meistens mit einer ganzen Reihe an Rechten ausgestattet sind und deren Zugangsdaten nur selten geändert werden. Sie könnten von Kriminellen missbraucht werden, die diese Daten beim ursprünglichen Angriff erbeutet haben. Außerdem sollten sich Nutzer auch nur in den Bereichen des Netzwerks bewegen können, zu denen sie Zugang benötigen.

Ein weiteres Risiko für Exchange Server sind böswillige Mining-Programme, die Kryptowährungen schürfen. Ein Beispiel hierfür ist das Lemon Duck Botnet, das dabei beobachtet wurde, wie es verwundbare Exchange Server ausgenutzt hat. Interessanterweise haben die Hintermänner des Botnets dabei den Zugriff anderer Hackergruppen auf den entsprechenden Exchange Server entfernt, damit nur noch ihre eigene Hintertür besteht. Das schützt jedoch nicht vor anderer Malware, denn wie Microsoft warnt, wurde auch Lemon Duck bereits für die Verbreitung weiterer Schädlinge genutzt.

Für Systemadministratoren hat Microsoft in seinem Blog aufgelistet, welche Indizien auf mögliche Eindringlinge hinweisen: https://www.microsoft.com/security/blog/2021/03/25/analyzing-attacks-taking-advantage-of-the-exchange-server-vulnerabilities/
Über die 8com GmbH & Co. KG

Das 8com Cyber Defense Center schützt die digitalen Infrastrukturen von 8coms Kunden effektiv vor Cyberangriffen. Es beinhaltet ein Security Information and Event Management (SIEM), Vulnerability Management sowie professionelle Penetrationstests. Zudem bietet es den Aufbau und die Integration eines Information Security Management Systems (ISMS) inklusive Zertifizierung nach gängigen Standards. Awareness-Maßnahmen, Security Trainings und ein Incident Response Management runden das Angebot ab.

8com gehört zu den führenden Anbietern von Awareness-Leistungen und Informationssicherheit in Europa. Seit 15 Jahren ist das Ziel von 8com, Kunden die bestmögliche Leistung zu bieten und gemeinsam ein ökonomisch sinnvolles, aber trotzdem möglichst hohes Informationssicherheitsniveau zu erzielen. Durch die einzigartige Kombination aus technischem Know-how und direkten Einblicken in die Arbeitsweisen von Cyberkriminellen können die Cyber-Security-Experten bei ihrer Arbeit auf fundierte Erfahrungswerte zurückgreifen.

Firmenkontakt und Herausgeber der Meldung:

8com GmbH & Co. KG
Europastraße 32
67433 Neustadt an der Weinstraße
Telefon: +49 (6321) 48446-0
Telefax: +49 (6321) 48446-29
http://www.8com.de

Ansprechpartner:
Felicitas Kraus
Pressereferentin
Telefon: +49 (30) 30308089-14
E-Mail: kraus@quadriga-communication.de
Eva-Maria Nachtigall
Leiterin Kommunikation & Medien
Telefon: +49 (6321) 48446-0
E-Mail: redaktion@8com.de
Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.

counterpixel