Schwachstellen in Beyond Trust So wurde das US-Finanzministerium gehackt

Indem sie zwei Schwachstellen in der Software von Beyond Trust ausnutzten, konnten sich Cyberkriminelle Zugriff auf die Systeme des US-Finanzministeriums verschaffen. Eine Stellungnahme des Ministeriums sowie Updates des Herstellers erläutern die Hintergründe.

Im Dezember 2024 wurde das Finanzministerium der USA gehackt. Auf Grundlage der bisherigen Informationen geht das Ministerium davon aus, dass die APT-Gruppe (Advanced Persistent Threat) Salt Typhoon, die vom chinesischen Staat gesponsert ist, hinter dem Vorfall steckt. Dieser wird vom Finanzministerium als „schwerwiegender Vorfall“ eingestuft. Mit Zugriff auf einen gestohlenen Sicherheitsschlüssel konnte der Bedrohungsakteur die Sicherheit eines Online-Dienstes des Ministeriums umgehen und aus der Ferne auf bestimmte Arbeitsstationen von Benutzern des Finanzministeriums zugreifen. Dabei konnte er bestimmte nicht klassifizierte Dokumente einsehen und auf diese zugreifen, die von diesen Benutzern verwaltet werden.

Verantwortlich für Cyberangriffe auf die USA

So arbeitet die gefährliche Hackergruppe Salt Typhoon

Dies geht aus einem Brief der stellvertretenden Ministerin für das Management des US-Finanzministeriums, Aditi Hardikar, hervor. Diesen schickte sie an den Vorsitzenden des Ausschusses für Banken, Wohnungsbau und Stadtentwicklung des US-Senats Washington, Sherrod Brown, und Tim Scott, das ranghöchste Mitglied des Ausschusses. Der Brief wurde von dem US-Nachrichtenportal Nextgov bereitgestellt, das sich auf Technologie, Cybersecurity und Innovation im öffentlichen Sektor spezialisiert hat. Aus einer Analyse der US-Finanzministeriums geht hervor, wie die Cyberkriminellen sich Zugriff auf seine Systeme verschaffen konnten.

Update: Verantwortliche sanktioniert

Mittlerweile konnte das US-Finanzministerium die Verantwortlichen identifizieren. Neben vier chinesischen Unternehmen, von denen eines als Tarnfirma für das chinesische Ministerium für Staatssicherheit diene, wurden auch Sanktionen gegen Einzelpersonen ausgesprochen. Diese waren direkt oder indirekt an den Cyberangriffen auf das Finanzministerium wie auch auf kritische US-Infrastrukturen, darunter Telekommunikationsanbieter, beteiligt. Bei den Cyberattacken, die bereits seit Frühjahr 2024 im Gange waren, stahlen die Cyberkriminellen Informationen von hochrangigen US-Beamten sowie Privatpersonen.

Update: 10 Millionen Dollar Belohnung

Chinesische Hacker greifen kritische US-Infrastrukturen an

Software von Beyond Trust als Einfallstor

Da das US-Finanzministerium im Besitz hochsensibler Daten ist, benötigt es effektive Sicherheitslösungen, die sowohl die Daten selbst wie auch die Zugriffsrechte der Mitarbeitenden schützen, die auf diese Informationen zugreifen können. Wie aus dem Brief des Ministeriums hervorgeht, setzt es auf den Hersteller Beyond Trust, der sich auf Lösungen für das Privileged Access Management (PAM) spezialisiert hat. „Am 8. Dezember 2024 wurde das Finanzministerium von einem Drittanbieter von Softwarediensten, BeyondTrust, darüber informiert, dass ein Bedrohungsakteur Zugriff auf einen Schlüssel erlangt hatte, der vom Anbieter verwendet wurde, um einen Cloud-basierten Dienst zu sichern, der verwendet wurde, um Endbenutzern des Finanzministeriumsbüros (DO) technischen Support aus der Ferne zu bieten“, heißt es in dem Schreiben.

Bereits am zweiten Dezember habe Beyond Trust „anomales Verhalten“ in seinem Netzwerk festgestellt. Erste Untersuchungen hätten ergeben, dass Bedrohungsakteure einige der Remote-Support-SaaS-Instanzen kompromittiert hätten. Im weiteren Verlauf der Forensik stellte sich heraus, dass Cyberkriminelle Zugriff auf einen API-Schlüssel erlangt hätten, mit dem sie Passwörter für lokale Anwendungskonten zurücksetzen konnten. Der Hersteller stellte alle betroffenen Instanzen sofort unter Quarantäne und informierte die betroffenen Kunden. Zudem wurde der kompromittierte API-Schlüssel identifiziert und widerrufen.

Am 16. Dezember fand Beyond Trust dann den Grund für den Sicherheitsvorfall: eine Sicherheitslücke in den Remote-Support- und Privileged-Remote-Access-Produkten. Der Hersteller identifizierte „BT24-10“ als kritisch und veröffentlichte sofort einen Patch sowohl für alle Cloud-Instanzen wie auch die selbst gehosteten Versionen. Offiziell wurde die Schwachstelle mit der KennungCVE-2024-12356 aufgenommen und mit einem CVSS-Score von 9.8 eingestuft. Diese Schwachstelle ist so gefährlich, da sie es einem nicht authentifizierten Cyberangreifer erlaubt, bösartige Befehle einzuschleusen, die dann vom System ausgeführt werden.

Am 18. Dezember folgte eine zweite Schwachstelle, von Beyond Trust „BT24-11“ genannt. Auch sie findet sich in den Produkten Privileged Remote Access und Remote Support. Auch diese Sicherheitslücke, die unter CVE-2024-12686 mit einem CVSS-Score von 6.6 geführt wird, wurde mit einem Update, das an die Kunden ging, geschlossen. Diese Schwachstelle erlaubt es Cyberkriminellen, die bereits Adminrechte erlangt haben, bösartige Befehle auszuführen und als Site-Nutzer zu agieren.

Reaktion des US-Finanzministeriums

Laut eigenen Angaben hat das US-Finanzministerium mit der Cybersecurity and Infrastructure Security Agency (CISA), dem Federal Bureau of Investigation (FBI), den US-Geheimdiensten sowie externen forensischen Ermittlern zusammengearbeitet, um den Vorfall vollständig zu untersuchen und seine kurz- und langfristigen Auswirkungen zu bestimmen. Außerdem hat es den kompromittierten Beyond-Trust-Dienst sofort offline genommen. Derzeit gebe es keine Hinweise darauf, dass die Bedrohungsakteure weiterhin Zugriff auf Informationen des Finanzministeriums hätten. Weitere Einzelheiten wird das Ministerium in einem Zusatzbericht veröffentlichen, den es gemäß der Richtlinien von FISMA und OMB bereitstellen muss.

Deutsche Firmen im Visier chinesischer Hacker

267 Milliarden Euro Schaden pro Jahr für die deutsche Wirtschaft

(ID:50275514)