Mobile-Menu

MFA ausgeknockt Cookies sind ein Hintertürchen zu Unternehmensdaten

Von Ira Zahorsky

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG
SEPPmail - Deutschland GmbH
Sophos Technology GmbH

Ein neuer Trend unter Cyberkriminellen ist es, gezielt Session Cookies zu stehlen und sie zur Umgehung der Multi-Faktor-Authentifizierung (MFA) zu nutzen. So erhalten sie Zugang zu Unternehmensressourcen. Gibt es eine Möglichkeit, diese Angriffe abzuwehren?

Durch den Diebstahl von Session-Cookies können Cyberkriminelle relativ leicht Zugriff auf ein Unternehmensnetzwerk erlangen.
Durch den Diebstahl von Session-Cookies können Cyberkriminelle relativ leicht Zugriff auf ein Unternehmensnetzwerk erlangen.
(Bild: Rutmer - stock.adobe.com)

„Da ein großer Teil des Arbeitsplatzes inzwischen webbasiert ist, gibt es keine Grenzen für die bösartigen Aktivitäten, die Angreifer mit gestohlenen Sitzungscookies durchführen können. Sie können Cloud-Infrastrukturen manipulieren, geschäftliche E-Mails kompromittieren, andere Mitarbeitende zum Herunterladen von Malware überreden oder sogar Code für Produkte umschreiben“, beschreibt Sean Gallagher, Principal Threat Researcher bei Sophos, den Status Quo. Im aktuellen X-Ops-Report „Cookie stealing: the new perimeter bypass“ beschreibt der Cybersecurity-Anbieter Sophos, wie Cyberkriminelle diese Technik ausnutzen, um schädliche Aktivitäten in Unternehmensnetzwerken auszuführen.

„Pass-the-Cookie“-Angriffe

Ein User meldet sich bei den Webressourcen seiner Firma an. Dabei werden Sitzungs- oder Authentifizierungs-Cookies vom Browser gespeichert. Werden diese gestohlen, können die Diebe einen so genannten „Pass-the-Cookie“-Angriff durchführen. Indem sie das Zugriffstoken in eine neue Web-Sitzung einschleusen, gaukeln sie dem Browser vor, der User sei bereits authentifiziert. Sie nutzen also legitime ausführbare Dateien, um den Zugang zu erhalten. Auf genau die gleiche Weise wird auch eine vorhandene Multi-Faktor-Authentifizierung (MFA) umgangen. Sobald der Zugang steht, können weitere Angriffe, wie die Kompromittierung von E-Mails, Social Engineering, das Eindringen in zusätzliche Systeme oder die Änderung von Daten oder Quellcode-Repositories, erfolgen.

Wenn Angreifende im Besitz von Session-Cookies sind, können sie sich frei in einem Netzwerk bewegen.

Sean Gallagher, Sophos

„Im vergangenen Jahr haben wir beobachtet, dass Cyberkriminelle vermehrt auf Cookie-Diebstahl zurückgreifen, um die zunehmende Verbreitung von MFA zu umgehen. Sie nutzen neue und verbesserte Malware, um den Diebstahl von Authentifizierungs-Cookies, auch bekannt als Access Tokens, zu vereinfachen“, erklärt Gallagher. Dass viele legitime webbasierte Anwendungen langlebige Cookies anlegen, die selten oder nie ablaufen, erleichtert den Kriminellen ihre Arbeit.

Gegenmaßnahmen?

Gallagher bedauert, dass es keine einfache Lösung gibt: „Zwar können Dienste beispielsweise die Lebensdauer von Cookies verkürzen, was jedoch bedeutet, dass sich die Benutzer häufiger neu authentifizieren müssen. Da Angreifer legitime Anwendungen nutzen, um Cookies abzugreifen, müssen Unternehmen die Erkennung von Malware mit einer Verhaltensanalyse kombinieren.“

(ID:48564444)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte