RDP-Studie von Sophos

RDP ist riesiges Sicherheits­risiko für Unternehmen

| Redakteur: Peter Schmitz

Das Remote Desktop Protocol (RDP) ist nach wie vor ein valider Grund für schlaflose Nächte von Systemadministratoren.
Das Remote Desktop Protocol (RDP) ist nach wie vor ein valider Grund für schlaflose Nächte von Systemadministratoren. (Bild: gemeinfrei / Pixabay)

Das bei vielen Admins beliebte Remote Desktop Protocol (RDP) stellt für Unternehmen ein großes Sicherheitsrisiko dar. Security-Anbieter Sophos hat seine knapp viermonatige Studie „RDP Exposed: The Threat That’s Already at your Door“ abgeschlossen und die Langzeit­ergebnisse veröffentlicht. Sie zeigt, wie Cyberkriminelle unerbittlich versuchen, Unternehmen via RDP anzugreifen.

RDP ist nach wie vor ein valider Grund für schlaflose Nächte von Systemadministratoren. Im vergangenen Jahr haben sich Cyberkriminelle – neben den zwei großen Ransomware-Angriffen Matrix und SamSam – fast vollständig auf Netzwerkzugriffe mit RDP konzentriert und andere Methoden weitgehend aufgegeben.

Matt Boddy, Security-Spezialist bei Sophos und Leiter der Studie erklärt: „In jüngster Zeit hat ein Fehler bei der Ausführung des Remote-Code im RDP - genannt BlueKeep (CVE-2019-0708) - für Schlagzeilen gesorgt. Dies ist eine so schwerwiegende Schwachstelle, dass sie dazu genutzt werden kann, eine Ransomware-Welle auszulösen, die sich innerhalb von Stunden weltweit ausbreiten könnte. Die Absicherung gegen RDP-Bedrohungen geht weit über das Patchen von Systemen gegen BlueKeep hinaus, denn dies ist nur die Spitze des Eisbergs. Zudem müssen IT-Manager dem RDP deutlich mehr Aufmerksamkeit schenken. Denn wie unsere Studie zeigt, attackieren Cyberkriminelle alle potenziell gefährdeten Computer mit RDP indem sie versuchen die Passwörter herauszufinden.

Im Podcast-Studio mit dem Chefredakteur

Monatsrückblick Juni 2019

Im Podcast-Studio mit dem Chefredakteur

02.07.19 - Jetzt gibt es was auf die Ohren! Diesmal haben wir die wichtigsten Meldungen des Vormonats nicht nur zusammengefasst, sondern auch eingehend besprochen – nachzuhören im brandneuen Security-Insider Podcast. lesen

Die neue RDP-Studie von Sophos „RDP Exposed - The Threat That's Already at Your Door“ zeigt, wie Angreifer RDP-fähige Geräte bereits kurz nach dem Erscheinen im Internet finden. Als Demonstration setzte Sophos zehn geografisch verteilte Honeypots ein, um RDP-basierte Risiken zu messen und zu quantifizieren.

Alle zehn Honeypots erhielten ihren ersten RDP-Login-Versuch innerhalb eines Tages. Die zehn RDP Honeypots protokollierten insgesamt 4.298.513 fehlgeschlagene Anmeldeversuche über einen Zeitraum von 30 Tagen. Dies entspricht einem Angriffsversuch alle sechs Sekunden. Im Allgemeinen wird angenommen, dass Cyberkriminelle Websites wie Shodan nutzen, um nach offenen RDP-Quellen zu suchen. Die Studie von Sophos zeigt jedoch, dass Cyberkriminelle ihre eigenen Werkzeuge und Techniken haben, um offene RDP-Quellen zu finden, und sich nicht unbedingt nur auf Websites von Drittanbietern verlassen.

Hackerverhalten aufgedeckt

Sophos hat auf der Grundlage der Studie unterschiedliche Angriffsmuster identifiziert. Dazu gehören drei Hauptprofile, der Widder, der Schwarm und der Igel:

Der Widder ist eine Strategie, die darauf abzielt, ein Administrator-Passwort zu hacken. Ein Beispiel der Studie ist, dass ein Angreifer im Laufe von zehn Tagen 109.934 Anmeldeversuche am irischen Honeypot mit nur drei Benutzernamen machte, um Zugang zu erhalten.

Der Schwarm ist eine Strategie, die sequentielle Benutzernamen und eine endliche Anzahl der schlechtesten Passwörter verwendet. Ein Beispiel aus der Studie: In Paris wurde ein Angreifer registriert, der den Benutzernamen ABrown neunmal innerhalb von 14 Minuten verwendete, gefolgt von neun weiteren Versuchen mit dem Benutzernamen BBrown, anschließend mit CBrown, gefolgt von DBrown und so weiter. Das Muster wurde mit A.Mohamed, AAli, ASmith und anderen wiederholt.

Der Igel ist gekennzeichnet durch eine hohe Aktivität, gefolgt von längeren Inaktivitätsphasen. Ein Beispiel in Brasilien zeigt, dass jeder Spike, der von einer IP-Adresse erzeugt wird, etwa vier Stunden dauert und aus 3.369 bis 5.199 Passwortraten besteht.

Wurmkur für Windows XP bis Server 2008

BSI und Infoblox warnen vor neuem WannaCry

Wurmkur für Windows XP bis Server 2008

20.05.19 - Aus Sorge vor einer erneuten Wurmepidemie hat Microsoft die eigentlich nicht mehr gepflegten Windows-Versionen XP und Server 2003 mit einem Patch versorgt – und damit womöglich eine Neuauflage des WannaCry-Angriffes verhindert. lesen

Boddy erklärt, was der Umfang dieser RDP-Gefahr für Unternehmen bedeutet: „Derzeit gibt es weltweit mehr als drei Millionen Geräte, die über RDP zugänglich sind, und es ist heute ein bevorzugter Einstiegspunkt für Cyberkriminelle. Sophos hat darüber berichtet, wie Kriminelle, gezielt Ransomware wie BitPaymer, Ryuk, Matrix und SamSam einsetzen, und fast vollständig auf andere Methoden verzichtet haben, um in ein Unternehmen einzudringen. Alle Honeypots wurden innerhalb weniger Stunden entdeckt, nur weil sie per RDP im Internet sichtbar waren. Der grundlegende Lösungsansatz besteht darin, den Einsatz von RDP so weit wie möglich zu reduzieren und sicherzustellen, dass hervorragende Passwörter im Unternehmen angewendet werden. Unternehmen müssen handeln und die passende Security zum Schutz vor den unerbittlichen Angreifern nutzen.“

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 46055057 / Sicherheitslücken)