Schwachstellenmanagement ist unverzichtbar Exploiting ist noch lange nicht tot!

Anbieter zum Thema

Ontinue

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Hacker lieben sie, Unternehmen fürchten sie: Exploits – unbekannte Sicherheitslücken in Software. Doch wer glaubt, nur Apps der Marke Eigenbau können unsicher sein, irrt jedoch. Gerade in Anwendungen aus dem Hause großer Konzerne schleichen sich erschreckend oft Schwachstellen ein.

Es ist ein ungeschriebenes Gesetz unseres digitalen Zeitalters, dass sich Unternehmen nicht die Frage stellen sollten, ob sie gehackt werden können, sondern wann. Ein Grund dafür sind heute mehr denn je natürlich die unermüdlichen Bemühungen von Cyberkriminellen, Angestellte via Phishing-Mails quasi zu Mittätern zu machen, die freiwillig ihre Zugangsdaten zu ansonsten sicheren IT-Umgebungen preisgeben. Auch Ransomware-Attacken erfreuen sich in der Hacker-Szene großer Beliebtheit: Das unbedachte Öffnen von E-Mail-Anhängen sorgt zuweilen für die Verschlüsselung sämtlicher Systeme eines Unternehmens.

Was diese Angriffsarten gemeinsam haben und was sie zur ersten Wahl von Cyberkriminellen machen, ist die Tatsache, dass dafür kaum noch tiefergehende Hacker-Skills nötig sind. Baukästen für Ransomware und Phishing-Webseiten gibt es im Darknet, generative KI hilft beim Verfassen täuschend echter Mailings, die Opfer kaum von echten Benachrichtigungen unterscheiden können.

DLL Hijacking

Zero-Day-Sicherheitslücke in den Microsoft Sysinternals-Tools

Die Gefahr einer unbekannten Hintertür

Trotz dieser klaren Tendenz zum Social Engineering, also der Manipulation von unbedarften und technisch wenig versierten Personen, sind Unternehmen gut beraten, ihre klassischen Verteidigungsmaßnahmen im Cyberspace nicht zu vernachlässigen. Professionelle Hacker haben den „schwierigen“ Weg, Schwachstellen in den Systemen ihrer Opfer zu finden und sich über Hintertüren Zugang zu verschaffen, nicht verlernt oder ad acta gelegt. Exploiting – das Suchen, Finden und Ausnutzen von Schwachstellen – ist eine nicht zu unterschätzende Gefahrenquelle. Das liegt insbesondere daran, dass die allermeisten Unternehmen ihre Business-Software von Drittanbietern beziehen und sich somit in Sachen Sicherheit und Patching hundertprozentig auf den Hersteller der Software verlassen müssen. Doch Fehler passieren auch den versiertesten Entwickler-Teams.

So kommt es häufig zu sogenannten Zero Day Exploits, also Schwachstellen, die zunächst komplett unbekannt in Software oder Systemen schlummern. Viele dieser Sicherheitslücken werden erst dann zu einem Problem, wenn neue Angriffsarten es ermöglichen, sie auszunutzen. Andere finden erst mit einem Update oder gar einem vermeintlich die Sicherheit erhöhenden Patch den Weg in eine Software. Zwar arbeiten Softwareentwickler und White Hat Hacker vor und nach dem Release neuer Anwendungen oder Updates unermüdlich daran, Schwachstellen zu finden und die Integrität der Systeme zu testen. Doch oft genug sind Cyberkriminelle kreativer als die Verteidiger und finden Mittel und Wege, Exploits auszunutzen, auf die nicht einmal eine KI kommt.

KI in der IT-Sicherheit

BurpGPT hilft bei Penetrationstests

Künstliche Intelligenz als Feind und Helfer

Die neuen Fähigkeiten Künstlicher Intelligenz sind im Zusammenhang mit Cybersecurity Fluch und Segen zugleich. Generative KI-Tools wie ChatGPT haben der breiten Öffentlichkeit gezeigt, wie mächtig diese Technologie ist. Natürlich haben die Entwickler der einschlägigen Anwendungen Vorkehrungen getroffen, damit sie nicht von Hackern ausgenutzt werden können: Der Prompt „Schreib‘ mir eine Ransomware“ liefert glücklicherweise keine verwertbaren Ergebnisse. Doch die den mittlerweile weit verbreiteten KI-Assistenten wie ChatGPT zugrundeliegenden Large Language Models sind von Cyberkriminellen längst auch für sinistere Absichten in eigene Tools ohne solche Sicherheitsvorkehrungen integriert worden.

Aber auch die Verteidiger nutzen zunehmend Künstliche Intelligenz, um Software-Code auf Sicherheitslücken zu untersuchen oder die Verteidigungs­maßnahmen von IT-Infrastrukturen zu testen. KI ist definitiv ein Gamechanger im Kontext der Cybersecurity und hat das Potenzial, viele Zero Day Exploits aufzuspüren, bevor Schäden entstehen. Dennoch schleichen sich trotz größter Sorgfalt und Vorsicht immer wieder Sicherheitslücken in Software – vor allem bei großen Unternehmen. Im Jahr 2023 fanden vor allem fünf Exploits den Weg in die Schlagzeilen und bereiteten Sicherheitsexperten weltweit großes Kopfzerbrechen, die wir im folgenden Artikel bereits vorgestellt haben.

KI als Schutz und Risiko

Die am häufigsten ausgenutzten Exploits 2023

Hier trotzdem noch einmal eine Übersicht über die fünf meistgenutzten Exploits aus 2023:

CVE-2023-38831: WinRAR Code Execution Vulnerability

Die Schwachstelle CVE-2023-38831 betrifft WinRAR – ein Tool, das sowohl privat als auch in Unternehmenslösungen weit verbreitet ist. Durch speziell präparierte ZIP-Archive, die eine scheinbar harmlose Datei (etwa ein Bild) und einen Ordner mit demselben Namen enthalten, konnten Angreifer dazu verleiten, den Ordner statt der Datei zu öffnen. Dabei verarbeitete WinRAR den Ordner und führte den darin befindlichen Schadcode aus. Auf GitHub kursierten zudem mehrere .cmd-Dateien, die auch weniger erfahrenen Hackern als Vorlage dienten.

CVE-2023-4966: Citrix Bleed

Die unter CVE-2023-4966 bekannte Schwachstelle betrifft Citrix-Produkte wie den NetScaler ADC und das NetScaler Gateway, die Funktionen wie Load Balancing, Firewall- und VPN-Services bereitstellen. Angreifer setzten einen Zero-Day-Exploit ein, um an vertrauliche Informationen – beispielsweise Login-Daten – zu gelangen und ganze Systeme zu kompromittieren. Da diese Geräte in Netzwerken häufig mit AAA-Servern (Authentification, Authorization, Accounting) verbunden sind, konnten kompromittierte Systeme weiteren Schaden anrichten. Sicherheitsexperten rieten, alle Verbindungen sofort zu unterbrechen und den entsprechenden Patch aufzuspielen, was in vielen Unternehmen stundenlange Ausfälle verursachte.

CVE-2023-34362: Progress MOVEit SQL Injection Vulnerability

In der Webanwendung MOVEit Transfer von Progress ermöglichte die kritische SQL-Injection-Schwachstelle CVE-2023-34362 nicht authentifizierten Angreifern den direkten Zugriff auf die Datenbanken. Durch das Einschleusen manipulierter SQL-Befehle wurden sensible Daten entwendet. Trotz der einfachen Ausnutzungsmethode traf der Exploit über 60 Millionen Nutzer und mehr als 2.000 Unternehmen – darunter auch offizielle Behörden wie das französische Arbeitsamt.

Amazon bestätigt Datenschutzverletzung

Massive Moveit-Sicherheitslücke bedroht Konzerne

CVE-2023-36025: Umgehung des Windows SmartScreens

Die Lücke CVE-2023-36025 ermöglichte es Cyberkriminellen, die Schutzfunktion des Windows SmartScreen zu umgehen. Grund hierfür war, dass in Internet-Verknüpfungsdateien (.url-Dateien) enthaltene URLs nicht ausreichend validiert wurden. Mithilfe manipulierter .url-Dateien leiteten Angreifer ihre Opfer auf bösartige Webseiten – etwa über Phishing-E-Mails oder kompromittierte Seiten. Obwohl Microsoft rasch einen Patch veröffentlichte, wurde die Schwachstelle bereits im Vorfeld aktiv ausgenutzt, um unter anderem Login-Daten und Cryptowallets zu stehlen.

CVE-2023-36033: Windows DWM Privilege Escalation Exploit

Die Sicherheitslücke CVE-2023-36033, auch als „Microsoft Windows Desktop Window Manager (DWM) Core Library Privilege Escalation Vulnerability“ bekannt, betrifft Windows-Betriebssysteme. Lokale Angreifer konnten dadurch ihre Rechte erhöhen und sich Administratorrechte verschaffen, sofern sie bereits physischen oder anderweitigen Zugang zum Zielsystem hatten. Mit diesen erweiterten Rechten war es ihnen möglich, das gesamte System zu kontrollieren und sich innerhalb eines Unternehmensnetzwerks nahezu unbegrenzt zu bewegen – im schlimmsten Fall sogar weitere Rechner zu übernehmen.

Die Beispiele zeigen eindeutig: Exploiting ist noch lange nicht tot. Auch wenn Phishing- und Ransomware-Attacken heute häufiger vorkommen, suchen professionelle Hacker noch immer sehr aufmerksam nach Schwachstellen in Software – insbesondere in Enterprise-Anwendungen, die im Unternehmenskontext eine große Rolle spielen. Es heißt also wachsam bleiben und nach Möglichkeit Patches umgehend einzuspielen, um Cyberkriminellen eine möglichst kleine Angriffsfläche zu bieten.

Über den Autor: Craig Jones ist Vice President Security Operations bei Ontinue.

(ID:50317685)