Zero-Day-Exploit zeigt beunruhigenden Trend Immer mehr Angriffe auf Internetanbieter

Anbieter zum Thema

Arctic Wolf Networks Germany GmbH

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FAST LTA GmbH

Internet Service Provider stellen weltweit das Rückgrat vieler ge­sell­schaft­lich­er Abläufe dar – und sind daher ein attraktives Ziel von Cyberangriffen. Das jüngste Beispiel: die Ausnutzung der Sicherheitslücke in der Netzwerk­soft­ware Versa Director. Um das Risiko solcher Kompromittierungen zu minimieren, müssen Unternehmen auch die Angriffssicherheit der Liefer­kette im Blick haben.

Ende August wurde der Zero-Day-Angriff auf Versa Director durch die chinesische Hackergruppe Volt Typhoon bekannt. Diese nutzte eine Sicherheitslücke in der Netzwerksoftware aus, um in die Systeme von Internet Service Providern einzudringen und Kundenlogins und -passwörter zu erbeuten. Ein Vorgehen, das von Angriffen auf andere Unternehmen der kritischen Infrastruktur (KRITIS) bekannt ist. Denn auch Stromnetze und Wasserversorgungsanbieter, der öffentliche Nahverkehr und Institutionen der öffentlichen Verwaltung sind immer wieder Ziel von Cyberangriffen – direkt oder über ihre Lieferkette.

Schwachstelle CVE-2024-39717 wird ausgenutzt

Gefährliche Datei-Uploads bedrohen Versa Director

So wurde jüngst der weltweit größte Dienstleister für die Energiewirtschaft Halliburton attackiert. Und auch in Deutschland kam es bereits zu schwerwiegenden Angriffen auf KRITIS-Unternehmen, wie etwa die Angriffe auf Behörden, Polizei, deutsche Häfen und die Deutsche Flugsicherung sowie die mutmaßlich von APT27 durchgeführten Attacken auf deutsche Pharma- und Technologieunternehmen. Laut Bundesamt für Verfassungsschutz nutzte APT27 Schwachstellen in Microsoft Exchange sowie in der Software Zoho AdSelf Service Plus1 aus, um an Geschäftsgeheimnisse zu gelangen. Es konnte dabei nicht ausgeschlossen werden, dass die Angreifer nicht auch den Versuch unternommen hatten, in die Netzwerke von Kunden und Partnern einzudringen.

Forescout Global Threat Roundup Report 2023

Cyberangriffe überziehen die globale kritische Infrastruktur

Der Weg in Unternehmenssysteme führt meist über Schwachstellen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) identifizierte in seinem Lagebericht zur IT-Sicherheit in Deutschland vor allem Softwareschwachstellen als Einfalltore für Bedrohungsakteure. So verzeichnete das BSI mit über 2.000 neuen Sicherheitslücken im Monat einen Zuwachs von 24 Prozent gegenüber dem Beobachtungszeitraum vom Vorjahr. Eine alarmierende Erkenntnis! Auch Volt Typhoon fand und nutzte eine Schwachstelle im aktuellen Exploit aus und konnte so in die Server der Internetanbieter und Managed Service Provider eindringen, die Versa-Software einsetzen.

Versäumnis beim Patchen bekannter Schwachstellen kann verheerend enden

Zero-Day-Angriffe sind das eine, das Ausnutzen bekannter und (noch) nicht gepatchter Schwachstellen das andere. Und das kommt häufiger vor, als man meinen könnte. So fand Security-Operations-Anbieter Arctic Wolf in seinem aktuellen Labs Threat Report heraus, dass bei fast 60 Prozent der vom Sicherheitsunternehmen untersuchten Vorfälle eine von außen zugängliche Schwachstelle, die bereits 2022 oder früher identifiziert worden war, ausgenutzt wurde. Die Misere ist augenscheinlich: Die betroffenen Unternehmen hätten zum Teil Monate oder sogar Jahre Zeit gehabt, Patches durchzuführen oder den externen Zugang zu beheben und so einen Großteil der erfolgreichen Cyberangriffe verhindern können.

Die Ursachen für diese „Nachlässigkeit“ sind zumindest teilweise nachvollziehbar: unterbesetzte IT-Teams, mangelndes Security-Know-how innerhalb der Unternehmen, unzureichende Security-Budgets und die übermäßige Beanspruchung durch scheinbar drängendere Aufgaben der vorhandenen Sicherheitsexperten.

Leitfaden für die Patch-Management-Praxis

Audit-Checkliste und Einkaufsratgeber fürs Patch Management

Transparenz und Kontrolle über die Sicherheit der Anwendungen in der Lieferkette

Hinzu kommt, dass es nicht nur entscheidend ist, die eigenen Systeme gegen Cyberangriffe zu schützen, auch die IT-Security in der Lieferkette muss gegeben sein. Denn die Taktik vieler Hacker zielt darauf ab, über Sicherheitslücken in Software und Server von Drittanbietern vorzudringen, die es den Cyberkriminellen dann ermöglichen, ihren Zugriff auf verbundene Server auszuweiten. So im Fall Versa und in vielen anderen Fällen geschehen. Besonders aufsehenerregend war der Sunburst-Angriff auf den Netzwerkmanagement-Software-Anbieter SolarWinds, bei dem die Eindringlinge monatelang ungestört Kommunikation und Daten abfangen konnten.

Was können Unternehmen tun?

Neben einer umfassenden Security-Strategie, die präventive, detektive und responsive Maßnahmen einschließt, sollten die Systeme stets auf dem neuesten Stand gehalten, Updates eingespielt und Patches zeitnah durchgeführt werden. Weil es im Arbeitsalltag manchmal nicht möglich ist, alle Schwachstellen rechtzeitig zu beheben, gilt es daher, einen Prozess zur Risikobewertung zu entwickeln. Nach einer vollständigen Bestandsaufnahme der IT-Infrastruktur sind Unternehmen dann in der Lage, herauszufinden, welche Schwachstellen in Software und Systemen aktuell die größten Risiken darstellen. Entscheidend ist es auch, einen Incident-Response-Plan zu erarbeiten, der im Angriffsfall Aufschluss über die notwendigen Schritte, verantwortlichen Personen und einzuleitenden Recovery-Maßnahmen gibt. Organisationen, die mit Fachkräftemangel und knappen Sicherheitsbudgets zu kämpfen haben, vor allem auch kleine und mittelständische Unternehmen, können sich einen externen Sicherheitsexperten ins Boot holen, der diese Aufgaben als „verlängerte Werkbank“ übernimmt, Know-how und Manpower einbringt und langfristig die Sicherheitslage des Unternehmens verbessert.

Supply-Chain-Security

Lieferketten und das schwächste Glied

Mehr Supply-Chain-Sicherheit

Zudem sollten Unternehmen volle Transparenz und Kontrolle über die Sicherheit aller Anwendungen in der Lieferkette haben. Nur so kann bei der Zusammenarbeit mit Partnern und Zulieferern das Cyberrisiko bestmöglich reduziert werden. Zu den wichtigsten Maßnahmen gehören:

• Aufnahme und Einhaltung von IT-Sicherheitsstandards in den Serviceverträgen

• Validierung des Sicherheitsniveaus der Lieferanten mithilfe von Audits und ähnlichem zur Bestimmung des Cyberrisikos potenzieller Geschäftspartner

• Einführung von Richtlinien für das Scannen und Monitoring aller Geräte, die mit dem unternehmenseigenen Netzwerk verbunden sind

• Einsatz einer Lösung zur Bedrohungserkennung und -abwehr u.a. zur Erkennung und Beseitigung von Anomalien im Netzwerk

Fazit: Bereit sein ist alles – auch in der Cybersecurity

Der Zero-Day-Angriff auf die Schwachstelle in Versa zeigt erneut eindringlich: Cyberattacken passieren – und die Frage ist dabei nicht ob, sondern wann. Das zügige Patchen von Schwachstellen ist ein wichtiger Baustein jeder Cybersicherheitsstrategie, hilft aber nur, wenn die Schwachstelle überhaupt bekannt ist. Das Wichtige für KRITIS-, aber auch alle anderen Unternehmen ist daher, auf den Angriffsfall vorbereitet zu sein und schnell konkrete Gegenmaßnahmen ergreifen zu können, um Schäden und Kosten so gering wie möglich zu halten. Und das bedeutet in einer hochvernetzen Welt mit globalen Lieferketten auch: die Supply Chain nicht vergessen und sowohl Geschäftspartner als auch Drittanbieter von Lösungen in der eigenen Sicherheitsstrategie bedenken, um eine möglichst kleine Angriffsfläche zu bieten.

Über den Autor: Adam Marrè ist Chief Information Security Officer bei Arctic Wolf.

(ID:50198248)