Suchergebnisse:

Wenn Unternehmen gehackt werden, wird es richtig teuer

Professionelle Hackerteams haben solvente Unternehmen als lohnenswerte Angriffsziele im Visier. Jedes Dax-Unternehmen kann sich sicher sein, dass es unter permanentem Dauerbeschuss steht. Die Frage ist immer nur, ob und wie lange der Wall aus IT-Sicherheitsmaßnahmen den täglichen Angriffen standhält. Sicherheitsexperten gehen davon aus, dass innerhalb von 24 Stunden drei Millionen Angriffe auf deutsche Unternehmen abgesetzt werden.

Automatisierte Angriffe

Für die Täter bedeutet es wenig Aufwand, die automatisierten Angriffswellen zu steuern.  Es werden solange Attacken gefahren bis irgendwo eine digitale Tür aufgeht und den kriminellen Subjekten Einlass gewährt. Neue Ziele sind vermehrt Remote-Desktop-Verbindungen, wie sie auch Homeoffice-Mitarbeiter nutzen, wenn sie von zu Hause arbeiten. Die Täter sind Diebe und Erpresser, die mit hoch spezialisierten Werkzeugen Daten stehlen oder Server verschlüsseln. Der angerichtete Schaden ist oft dermaßen hoch, dass Unternehmen zähneknirschend das geforderte Lösegeld zahlen. Anschließend wird dann oft versucht es geheim zu halten.

Nicht immer ist Geld der Schaden

Wenn eine Attacke halbwegs glimpflich abläuft, dann ist nur das Image beschädigt. So geschehen bei der Software AG, Deutschlands zweitgrößtem Softwarehaus. Es wurden „lediglich“ 832 Gigabyte Daten gestohlen. Die Kunden sind allerdings irritiert und erwarten natürlich, dass eine große Softwarefirma die eigene IT-Sicherheit im Griff hat.

Die Attacke auf die Uniklinik Düsseldorf hingegen hatte ein tragisches Ende, welches ein Menschenleben kostete. Dreißig Server wurden im Rechenzentrum verschlüsselt, wodurch sich die Behandlung einer Patientin verzögerte, die daraufhin gestorben ist. Der Bekennerbrief war allerdings an die Universität Düsseldorf gerichtet. Es handelte sich somit um einen Irrtum der Hacker. Sie haben die Server sofort wieder entschlüsselt, als man ihnen mitteilte, dass sie Menschenleben gefährden.

In unserem Blogartikel zur IT-Sicherheit haben wir über die verschiedenen Angriffsformen und über die Sensibilisierung der Gefährdungslage berichtet. Hier stellen wir nun einige prominente Unternehmen vor, die aktuell Opfer eines Hackerangriffs wurden, der kostspielige Schäden verursacht hat.

CD Projekt Red – Diebstahl von Softwarecode

Das polnische Entwicklerstudio CD Projekt Red ist bekannt für seine erfolgreichen Computerspiele wie The Witcher und Cyberpunk 2077. Den Angreifern ist es gelungen, auf die Server zuzugreifen und den Quellcode der beiden Spiele zu stehlen. Auf die Lösegeldforderung wollte das Unternehmen offiziell nicht eingehen. Die Hacker haben deshalb den Sourcecode auf dunklen Kanälen zum Sofortkaufpreis von sieben Millionen Dollar angeboten. Der Deal kam zustande, ein hoher Kaufpreis wurde überwiesen. Die Gerüchte mehren sich, dass das bestohlene Unternehmen selbst auf diesem Wege den eigenen Sourcecode zurückgekauft hat.

Funke Medien Gruppe – Verschlüsselung der Server

Die Funke Medien Gruppe ist ein riesiges Medienunternehmen mit einem Umsatz von mehr als 1,2 Milliarden Euro und 6000 Mitarbeitern. Ein Hackerangriff in „ungeheurer Dimension“ hat die IT-Systeme verschlüsselt und damit lahmgelegt. Die Redaktionen konnten keine Zeitungen mehr produzieren. „WAZ“, „Berliner Morgenpost“, „Hamburger Abendblatt“ wurden als handgefertigte Notausgaben veröffentlicht. Es soll eine hohe Lösegeldforderung in der Währung Bitcoin gestellt worden sein. Staatsanwaltschaft und Unternehmen schweigen sich allerdings über geleistete Zahlungen aus.

AIDA Kreuzfahrten – Verschlüsselung der Server

Die Reederei AIDA Cruises ist ebenfalls ein Opfer eines Hackerangriffs geworden und berichtete von „IT-technischen Einschränkungen“. Das Unternehmen hält sich mit ausführlichen Informationen äußerst bedeckt. Fakt ist allerdings, dass Telefon, E-Mail und Internetbuchungen komplett ausgefallen sind und nicht mehr funktionierten.

Zwei Kreuzfahrten zum Jahresende 2020 zu den Kanaren mussten dann wegen dieser massiven IT-Probleme abgesagt werden. Auch AIDA wurde mit einer hohen Lösegeldforderung zur Entschlüsselung der Systeme in der Währung Bitcoin konfrontiert.

Über geleistete Zahlungen schweigt sich das Unternehmen aus.

Fahrradhersteller Canyon – Verschlüsselung der Server

Beim Koblenzer Fahrradhersteller Canyon wurden bei einem Hackerangriff die IT-Systeme verschlüsselt, was das Unternehmen „zu 100 Prozent handlungsunfähig“ gemacht hat. Ohne Zugriff auf Server und Daten musste die Montage der Fahrräder gestoppt werden. Auch die Kommunikationskanäle kamen komplett zum Erliegen. Produktion, Service und Versand waren in vielen internationalen Standorten noch lange nach der Attacke beeinträchtigt. Eigene und externe IT-Experten konnten die Systeme aus Backups rekonstruieren und wieder virenfrei betreiben.

Garmin Fitness-Portal – Verschlüsselung der Server

Garmin ist ein weltweiter Hersteller von Fitness-Elektronik und betreibt ein Fitness-Portal unter dem Namen Garmin Connect. Dieses Portal wurde mit Ransomware gehackt und der Server dabei verschlüsselt. Der Angriff führte zum Totalausfall. Wenige Tage später standen allerdings alle Dienste wieder zur Verfügung. Amerikanische IT-Experten sehen es als sicher an, dass Garmin ein Lösegeld von 10 Millionen Dollar zahlte, um das Fitness-Portal wieder ans Laufen zu bringen.

Fazit

Es ist keine Frage mehr, ob man als Unternehmen angegriffen wird, sondern nur noch wann.

Die Investitionen in IT-Sicherheit sind im Vergleich zum möglichen Schaden äußerst gering. Wer dennoch die Augen schließt und hofft, dass der Kelch vorüberzieht, handelt heutzutage grob fahrlässig. Smarte Lösungen, die Sicherheit geben und das Budget nicht überstrapazieren, sind unsere Produkte Managed Antivirus und Anti-Ransom. Bereits tausendfach im Einsatz sichern sie IT-Systeme und bewahren vor dem Horror, dass man Dieben und Erpressern hilflos ausgeliefert ist.

In diesem Artikel informiere ich über die aktuell hochkritischen Sicherheitslücken in Microsoft-Exchange-Systemen und welche Maßnahmen sich betroffenen Unternehmen bieten. Ich werde vor allem darauf eingehen, wie einfach sich diese Maßnahmen mit servereye umsetzen lassen.

In jüngerer Zeit wurden kritische Schwachstellen in verschiedenen Versionen der weit eingesetzten Groupware Microsoft Exchange bekannt, die es im schlimmsten Falle Angreifern erlauben, die Systeme zu übernehmen, um in mit diesen verbundene Netzwerke einzudringen und dort weiteren Schaden anzurichten.

Artikeln der Fachpresse zufolge sind aktuell zehntausende Rechner mit der Groupware-Software allein in Deutschland auf Basis der Lücken über das Internet angreifbar und mit hoher Wahrscheinlichkeit bereits mit Schadsoftware infiziert.

Auch das BSI (Bundesamt für Sicherheit in der Informationstechnik) warnt vor den Schwachstellen und mahnt, diese schnellstmöglich zu beheben.

Sicherheitslücken bei kleinen und mittleren Unternehmen

Bei Servern, die bis jetzt nicht gepatcht wurden, geht das BSI davon aus, dass für diese eine große Gefahr besteht, bereits von den kriminellen Hackern übernommen worden zu sein und von diesen kontrolliert zu werden. Aufgrund der öffentlichen Verfügbarkeit von Exploit-Codes zum einfachen Ausnutzen der Schwachstellen sowie von „starken weltweiten Scan-Aktivitäten“ besteht momentan ein sehr hohes Angriffsrisiko. Aus diesem Grund sollten anfällige Exchange-Systeme dringend auf Auffälligkeiten geprüft werden.

Prüfung der eigenen Systeme

Microsoft bietet derzeit ein PowerShell-Skript und eine ausführbare Datei an, die zur Prüfung verwendet werden können.

Das PowerShell-Skript prüft in den entsprechenden Logs, ob es bereits Angriffe auf den entsprechenden Exchange-Servern gegeben hat. Es hat allerdings den Nachteil, dass es keine Prüfung gibt, ob das System überhaupt bereits gepatcht wurde und deshalb eventuell überhaupt nicht mehr angreifbar ist. Aus unserer Sicht ist der Nutzen deshalb begrenzt. Das Skript ist unter PowerShell-Testskript Test-ProxyLogon.ps1 auf Github verfügbar.

Microsoft hat außerdem eine Exe-Datei veröffentlicht, mit der geprüft werden kann, ob die Lücke aktuell besteht. Ein Nachteil ist allerdings, dass diese Datei für eine hohe Auslastung (bis zu 99% CPU-Last) für die Dauer der Prüfung sorgt, die sogar mehr als eine Stunde in Anspruch nehmen kann. Allerdings ist – vor allem, weil auf die Schwachstellen direkt geprüft wird – diese Methode die beste Möglichkeit, eigene Systeme zu testen und abzusichern.

servereye hat ein PowerShell-Skript (scan-for-hafnium.ps1) entwickelt, das die ausführbare Datei aufruft und das in die „Geplanten Tasks“ eingebunden werden kann. Dieses Skript ist im PowerShell Verzeichnis im servereye OCC zu finden.

Somit können unkompliziert alle entsprechenden Systeme geprüft werden. Das Ergebnis kann dann über den „Geplante Task-Sensor“ überwacht bzw. über diesen kann entsprechend alarmiert werden. Weitere Informationen können in einer Log-Datei eingesehen werden.

Patchen betroffener Systeme

Microsoft bietet Patches für die Sicherheitslücken in „KB5000871 Security Update For Exchange Server (KB5000871)“ an. Diese werden in servereye übrigens im Smart Updates automatisch ausgespielt, sofern die entsprechenden Einstellungen zum Paket und der Verzögerung gemacht wurden.

Solltet Ihr hierzu Fragen haben, kontaktiert gerne unseren Support!