CVE-2023-36884 ermöglicht Ransomware-Angriffe Gravierende Sicherheitslücke in allen Windows- und Office-Versionen

Anbieter zum Thema

Mimecast Germany GmbH

TXOne Networks

Microsoft hat am Patchday im Juli 2023 die Lücke CVE-2023-36884 behandelt. Diese ermöglicht auf Grund von Sicherheitslücken in allen Office- und Windows-Versionen die Ausführung von Code aus der Ferne. Wir zeigen in diesem Beitrag, wie sich Server und Computer schützen lassen.

Die Sicherheitslücke CVE-2023-36884 hat einen CVSS von 8.3 und wurde von Microsoft als "wichtig" eingestuft. Da die Lücke öffentlich bekannt ist und es bereits Exploits gibt, sollten Admins die entsprechenden Systeme so schnell wie möglich schützen. Davon betroffen sind alle aktuellen Windows- und Office-Versionen, bis hin zu Windows 11, Windows Server 2022 und auch Microsoft Office 2021 sowie die Microsoft 365-Apps, vor allem die Versionen 2208 und 2202. Ab Version 2302 der Microsoft 365-Apps soll die Lücke nach Microsoft nicht mehr vorhanden sein.

Microsoft Patchday Juli 2023

Patchday-Rekord: 130 Sicherheits-Updates!

Wenn ein Office-Dokument mit Schadcode im Netzwerk eintrifft, kann der Angreifer die Lücke dazu nutzen, beliebigen Code auszuführen. Dabei kann es sich auch um das Herunterladen und Ausführen von Ransomware handeln. Zum Zeitpunkt der Erstellung dieses Beitrags (14.07.2023) gibt es noch keinen Patch für diese Schwachstelle. Erscheint ein Update, sollte das so schnell wie möglich installiert werden.

Bildergalerie

Betroffen sind dabei nicht nur Computer, auf denen Office installiert ist, sondern auch die anderen Computer im Netzwerk. Schlussendlich gibt es diese Lücke auch in WordPad, und diese Textverarbeitung ist in allen Windows-Versionen installiert. Das BSI warnt ebenfalls mit einem eigenen Dokument vor dieser Lücke. Auch hier sind Maßnahmen zu finden, wie sich Unternehmen vor Angriffen auf CVE-2023-36884 schützen können.

Microsoft Defender für Microsoft Office 365 und Registry-Eintrag können schützen

Unternehmen, die auf ihren Systemen Microsoft Defender für Microsoft Office 365 einsetzen, sollen vor der Attacke zwar geschützt sein, sollten aber dennoch Maßnahmen ergreifen. Auch Microsoft 365 Defender kann vor diesen Angriffen schützen.

Zunächst kann es sinnvoll sein auf allen Systemen mit Microsoft Office den Neuen Registry-Schlüssel " FEATURE_BLOCK_CROSS_PROTOCOL_FILE_NAVIGATION" im Pfad "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Internet Explorer\Main\FeatureControl" zu erstellen.

Danach muss für jede der betroffenen Office-Anwendungen ein neuer "REG_DWORD" mit dem Wert "1" erstellt werden. Die Bezeichnung des neuen Werts sind jeweils folgende:

• Excel.exe

• Graph.exe

• MSAccess.exe

• MSPub.exe

• Powerpnt.exe

• Visio.exe

• WinProj.exe

• WinWord.exe

• Wordpad.exe

Ein Neustart ist nicht unbedingt notwendig, aber zumindest die Office-Anwendungen sollten neu gestartet werden. Die Einträge schwächen laut Microsoft die Möglichkeit eines erfolgreichen Angriffs ab, sorgen aber auch für Fehlermeldungen in den Office-Anwendungen.

Video-Tipp #64: Windows Defender Application Control (WDAC)

Schutz vor Ransomware mit Windows-Bordmitteln

Hackergruppe Storm-0978: Laut Microsoft sind vor allem die Telekomunikations- und Finanzbranche betroffen

Bekannt wurde die Lücke vor allem durch die russische Hackergruppe Storm-0978, auch als Dev-0978 und RomCom bekannt. Die Cyberkriminellen sind vor allem in den Bereichen Spionage- und Ransomware-Attacken aktiv. Microsoft vermutet eine Unterstützung durch den russischen Geheimdienst. Die Gruppe setzt für ihre Angriffe vor allem die Backdoor-Malware RomCom ein, die auch die Schwachstelle CVE-2023-36884 nutzt. In der Vergangenheit hat die Gruppe häufig auch Regierungs- und Regierungsbehörden in der Ukrainie angegriffen.

Malware RomCom gelangt auch über kompromittierte Software ins Netzwerk und die Ransomware Industrial Spy

Die Gruppe hat ihre Phishing-Angriffe vor allem im Zusammenhang mit Angelegenheiten der Ukraine durchgeführt. Oft wird RomCom auch über kompromittierte Software ins Netzwerk eingeschleust. Laut Microsoft sind davon vor allem Adobe-Produkte, Advanced IP Scanner, Solarwinds Network Performance Monitor, Solarwinds Orion, KeePass und Signal betroffen. Der Download erfolgt in diesem Fall über bösartige Domänen, auf denen Malware-kompromittierte Programme heruntergeladen werden. Ein Beispiel dafür ist "advanced-ip-scaner[.]com".

Parallel zur Backdoor RomCom setzt die Gruppe noch die Ransomware "Industrial Spy" und deren Weiterentwicklung "Underground" ein. Außerdem wird Storm-0978 mit der Ransomware "Trigona" in Verbindung gebracht. Es kann daher für Unternehmen sinnvoll sein, sich bereits im Vorfeld mit der Bekämpfung dieser drei Ransomware-Schädlingen zu beschäftigen und sich Entschlüsselungstools zu besorgen, die mit dieser Ransomware umgehen kann.

Die Angreifer versuchen häufig auch Hashes von Kennwörtern aus der Registry auszulesen. Diese Art von Angriffen erkennt wiederum Microsoft Defender für Endpoint (nicht verwechseln mit dem standardmäßig installierten Microsoft Defender) als " Export of SAM registry hive".

Microsoft Defender for Business

Malwareschutz von Microsoft aus der Cloud für KMU

Empfehlungen für den Schutz gegen CVE-2023-36884

Zunächst sollten Unternehmen ihre Mitarbeiter davor warnen Anwendungen von unbekannten Quellen herunterzuladen. Das Zustellen von Office-Dokumenten per E-Mails sollte besonders abgesichert werden und der Registry-Schlüssel sowie die empfohlenen Werte sind ein weiterer Schutz.

In Windows 10/11 sowie Windows Server 2019/2022 sollte beim Einsatz von Microsoft Defender darauf geachtet werden, dass in den Einstellungen im Windows-Sicherheitscenter bei "Viren- und Bedrohungsschutz -> Einstellungen für Viren- und Bedrohungsschutz -> Einstellungen verwalten" die Option "Cloudbasierter Schutz" aktiv ist.

Generell ist es sinnvoll darauf zu achten, dass auch die anderen Schutzfunktionen von Windows 10/11 im Bereich "Startseite" der Windows-Sicherheits-App einen Haken im grünen Kreis anzeigen. Das stellt sicher, dass der Computer maximal geschützt ist. Wenn Microsoft Defender for Endpoint im Einsatz ist, sollte der Blockmodus für EDR aktiv sein. In diesem Fall kann die Software auch einzelne Artefakte erkennen und bekämpfen. Microsoft empfiehlt in diesem Zusammenhang den Einsatz von Microsoft Defender für Microsoft 365. Der standardmäßig installierte Microsoft Defender erkennt die Malware teilweise unter folgendem Namen:

• Ransom:Win32/IndustrialSpy

• Trojan:Win32/RomCom

• Trojan:Win64/RomCom

• HackTool:Win32/Impacket

• HackTool:Python/Impacket

(ID:49611427)