- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Wird Bluekeep zu WannaCry 2.0?


Angreifer brauchen nur eine einzige Schwachstelle – auch die bei einem Lieferanten genügt
Einige Wochen nach der Entdeckung von Bluekeep und Bereitstellung des Patches durch Microsoft sind immer noch fast eine Millionen Systeme mit extern exponiertem RDP ungepatcht

- Anzeigen -





Von Patrick Steinmetz, DACH Sales, BitSight

Vor kurzem entdeckte Microsoft die Sicherheitslücke Bluekeep, die die schlimmsten Cyberangriffe seit der berüchtigten Ransomware-Attacke WannaCry aus 2017 ermöglichen könnte. WannaCry konnte sich nur deshalb so weit ausbreiten und solch immense Schäden verursachen, weil Tausende von Systemen nicht gepatcht waren. Microsoft hatte zwar einen Patch bereitgestellt, der vor WannaCry geschützt hätte, aber dieser Patch war bei vielen Systemen nicht aufgespielt worden. So blieben diese Systeme verwundbar.

Mit Bluekeep droht sich die Geschichte zu wiederholen: Einige Wochen nach der Entdeckung von Bluekeep und Bereitstellung des Patches durch Microsoft sind immer noch fast eine Millionen Systeme mit extern exponiertem RDP ungepatcht.

Die als Bluekeep bezeichnete Sicherheitslücke im Remote Desktop Protocol (RDP) birgt ein so großes Gefahrenpotenzial, dass neben Microsoft auch die National Security Agency (NSA) darüber informiert. Microsoft hat mehrere Blogposts darüber veröffentlicht. Die NSA gibt an, dass die terroristische Organisation ISIS nach Wegen sucht, Bluekeep für Cyberangriffe auszunutzen. Das Department of Homeland Security fordert jeden dazu auf, jetzt seine Systeme zu patchen.

Die Gemeinsamkeiten zwischen BlueKeep und WannaCry sind beunruhigend. Beide sind das Ergebnis von RDP Exploits. Beide sind Exploits, die ein Wurm ausnutzen kann, der sich dann automatisch über Systeme hinweg verbreiten würde, ohne dass eine Benutzerauthentifizierung oder -interaktion erforderlich ist.

Wenn trotz des derart hohen Gefahrenpotenzials immer noch Systeme ungepatcht sind, stellt sich die Frage nach den Gründen dafür. Einer könnte sein, dass Unternehmen nicht so gewissenhaft sind wie sie sein sollten, wenn es um die Cybersicherheit ihrer Lieferanten geht. Die Transparenz der Cybersicherheit der Lieferkette – oder das Fehlen dieser Transparenz – ist ein großes Problem, besonders in unserer immer stärker vernetzten Welt.

Durch die Globalisierung arbeiten Unternehmen völlig selbstverständlich mit Anbietern aus der ganzen Welt zusammen, die IT-Sicherheit sehr unterschiedlich handhaben. Wie können sie sicher sein, dass ihre Lieferanten und Partner ihre Systeme routinemäßig patchen, um sicherzustellen, dass sie vor Schwachstellen wie BlueKeep und WannaCry geschützt sind?

Unternehmen könnten ihre Lieferanten einfach fragen, ob sie ihre Sorgfaltspflicht erfüllen und auf gute Cyber-Hygiene achten. Aber wenn die Lieferanten dann mit Ja antworten, wer weiß, ob das wirklich wahr ist? Unternehmen könnten von ihren Lieferanten auch verlangen, dass sie ihre IT-Sicherheit verbessern, aber die Unternehmen brauchen dann immer noch einen Weg, um zu prüfen, dass diese Verbesserungen stattgefunden haben und erfolgreich waren ("vertrauen, aber überprüfen"). Unternehmen könnten Lieferanten auch von ihrem Netzwerk trennen, aber das kann je nach Wichtigkeit des Lieferanten zu enormen Störungen im eigenen Unternehmen führen.

Ein besserer Ansatz ist stattdessen, Transparenz über die Cybersicherheit der Lieferanten zu gewinnen. Diese Unterdisziplin von Supply Chain Risk Management wird auch als Risikomanagement des Lieferanten-Cyberrisikos bezeichnet. Im Zuge dessen werden zuerst mit technischen Lösungen in Echtzeit und automatisiert die Sicherheitsschwachstellen von Lieferanten aufgespürt. Mit diesem Wissen können Unternehmen zweitens bei ihren Lieferanten darauf hinwirken, gezielt Schwachstellen zu beseitigen. Drittens wird mit den oben erwähnten technischen Lösungen dann überprüft, ob die Schwachstellen tatsächlich erfolgreich beseitigt wurden. So gewinnen Unternehmen Daten darüber, welche ihrer Lieferanten es ernst meinen, Cyberrisiken zu senken und dazu beitragen, dass die von ihrer Lieferkette ausgehenden Cyberrisiken sinken.

Ohne eine derartige, datenbasierte Transparenz bleiben Unternehmen über ihre Lieferkette angreifbar. Genau darauf setzen Organisationen wie ISIS und andere Gruppen. Sie wissen, dass manche Unternehmen Themen wie Bluekeep nicht so viel Aufmerksamkeit schenken wie sie sollten. Denn die Angreifer brauchen nur eine einzige passende Schwachstelle, um einen Angriff durchzuführen, der sich rasend schnell ausbreitet.

Derzeit sind bei Unternehmen aus den Branchen Telekommunikation, Bildung und Technologie noch die meisten Systeme ungepatcht und daher verwundbar für Angriffe über Bluekeep. Es könnte schwerwiegende Folgen haben, wenn ein Angreifer unter Ausnutzung von Bluekeep in das Kommunikationsnetz eines Landes eindringen würde.

Unternehmen müssen so viele Schwachstellen wie möglich schließen, um Angreifern keine Gelegenheiten zu bieten. Sie sollten sich nicht zurücklehnen und darauf warten, bis Malware erkannt wird, denn das ist nur eine Frage der Zeit. Unternehmen dürfen auch nicht das Risiko eingehen, ungewollt bei der Finanzierung eines Terroranschlags mitzuwirken, indem sie bösartigen Akteuren erlauben, Zugang zu ihren Konten zu erlangen.

Stattdessen müssen Unternehmen Transparenz in ihre Lieferkette und die davon ausgehenden Cyberrisiken bringen. Sie müssen Schwachstellen bei sich und bei ihren Lieferanten schließen. Dazu brauchen sie Planung und Vorbereitung. Noch existiert so gut wie keine Malware, die Bluekeep ausnutzt, aber das ist nur eine Frage der Zeit. Es ist jetzt Zeit zu handeln, bevor Bluekeep zu WannaCry 2.0 wird. (BitSight: ra)

eingetragen: 11.07.19
Newsletterlauf: 14.08.19

Bitsight: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Sicherheit & Schutz der Privatsphäre

    Patientendaten sind extrem vertrauliche Informationen. Sie besonders zu schützen ist nur konsequent, und die Institutionen im Gesundheitswesen sind sich der Tragweite bewusst. Die hier anfallenden Daten, die sogenannten PHI-Daten, Personal Health Information, sind so sensibel wie begehrt. Das führt schon seit einigen Jahren dazu, dass Institutionen im Gesundheitswesen kontinuierlich mit Angriffen von Innentätern als auch von externen Cyberkriminellen zu kämpfen haben. Die Beispiele erfolgreicher Attacken sind Legion. Auch hierzulande hat es bereits spektakuläre Vorfälle mit schwerwiegenden Folgen gegeben. PII-Daten gehören zu den Daten, die sich besonders gut verkaufen lassen, und die finanzielle Motivation spielt bei externen Angreifern eine entscheidende Rolle. Es verwundert also nicht, dass die Zahl der Angriffe steigt und die verwendeten Vektoren zunehmend ausgefeilter werden. Ziel ist es, illegitim auf alle Arten von medizinischen Daten und Patienteninformationen zuzugreifen und dabei möglichst lange unentdeckt zu Werke zu gehen. Gleichzeitig gehört die Gesundheitsbranche zu den besonders stark regulierten Industriezweigen. Regulatorischer Druck und mögliche Strafen, stellen die Verantwortlichen vor nicht zu unterschätzende Herausforderungen.

  • Die ersten 90 Tage

    Sicherheit in einem wachstumsstarken Unternehmen auf- und ausbauen ist die zentrale Aufgabe eines designierten IT-Sicherheitschefs. Mit großer Wahrscheinlichkeit hat das Unternehmen bereits eine Reihe grundlegender Sicherheitsverfahren und Technologien implementiert, wie etwa Scan-Tools oder einen jährlichen Penetrationstest. Worin aber besteht das beste Fundament für maßgeschneiderte Sicherheitskonzepte? Welche Schritte sind geeignet Sicherheitsmaßnahmen einzuziehen, die mit dem Unternehmen wachsen? Neue und laufende Projekte, konkurrierende Prioritäten, Upgrades, potenzielle Sicherheitsschwachstellen und die 5-Jahresplanung. Mangelnde Betätigung und zu wenig Herausforderungen sind vermutlich das letzte über das sich ein Sicherheitsexperte beklagen muss. Angesichts der Fülle an Aufgaben mag es paradox anmuten: Trotzdem sollte man die Anfangsphase nutzen um sich zunächst gründlich zu orientieren. Nehmen Sie sich die Zeit, den aktuellen Status des Unternehmens gut zu verstehen. Dieses Verständnis trägt entscheidend dazu bei, präzise zu definieren wie der Status in Zukunft sein soll.

  • Wird Bluekeep zu WannaCry 2.0?

    Vor kurzem entdeckte Microsoft die Sicherheitslücke Bluekeep, die die schlimmsten Cyberangriffe seit der berüchtigten Ransomware-Attacke WannaCry aus 2017 ermöglichen könnte. WannaCry konnte sich nur deshalb so weit ausbreiten und solch immense Schäden verursachen, weil Tausende von Systemen nicht gepatcht waren. Microsoft hatte zwar einen Patch bereitgestellt, der vor WannaCry geschützt hätte, aber dieser Patch war bei vielen Systemen nicht aufgespielt worden. So blieben diese Systeme verwundbar. Mit Bluekeep droht sich die Geschichte zu wiederholen: Einige Wochen nach der Entdeckung von Bluekeep und Bereitstellung des Patches durch Microsoft sind immer noch fast eine Millionen Systeme mit extern exponiertem RDP ungepatcht.

  • Der primäre Anwendungsfall unserer Zeit

    Es scheint ein Widerspruch zu sein: Obwohl die meisten Unternehmen viele ihrer Anwendungen in die Cloud migrieren, erfreut sich das klassische Rechenzentrum nach wie vor großer Beliebtheit. Seit nun mehr als einem Jahrzehnt virtualisieren Unternehmen ihre Rechenzentren und führen Cloud-Technologien ein. Und sagten einige Experten vor gut zehn Jahren voraus, dass das Rechenzentrum der Zukunft vollständig in der Cloud betrieben würde, sehen wir heute, dass dies nicht eingetreten ist. Stattdessen führten Unternehmen Hybrid- und Multi-Cloud-Umgebungen ein, die ihnen die Wahl geben, ihren Anwendungen und Daten das ideale Zuhause zu geben.

  • Modulare Malware: Bösartige Multitalente

    Modulare Malware bietet Cyberkriminellen eine Architektur, die robuster, flexibler und gefährlicher ist als klassische dokumentenbasierte oder webbasierte Malware. Denn die Schadware beinhaltet verschiedene Nutzlasten und Funktionen und kann diese selektiv starten, je nach Ziel und Funktion des Angriffs. Mit dem Aufkommen von Botnetzen, die Befehle von Cyberkriminellen ausführen, und Malware, die für eine umfangreiche Verbreitung geschrieben wurde, ist Modularität zur neuen Norm geworden. Malware-Autoren organisieren sich zunehmend professionell und übernehmen und implementieren Praktiken der Softwareindustrie, einschließlich Qualitätssicherung und Tests, um den Erfolg von Angriffen zu optimieren. Als Reaktion auf die Anforderung, mehrere Fähigkeiten mit einer Malware-Datei zu erfüllen, hat sich modulare Malware zu einer funktionsreichen und flexiblen Angriffslösung für Cyberkriminelle entwickelt.