Antivirensoftware Test 2022: Effektiver Schutz vor Exchange-Angriffen

In der digitalen Welt von 2022 sind Cyberbedrohungen allgegenwärtig und entwickeln sich ständig weiter. Für Unternehmen ist der Schutz ihrer IT-Infrastruktur essenziell, und ein umfassender Antivirensoftware Test 2022 muss daher weit über die Erkennung einfacher Malware hinausgehen. Er muss die Fähigkeit einer Sicherheitslösung bewerten, selbst gegen hochkomplexe Angriffe standzuhalten, die Schwachstellen in kritischen Systemen wie Microsoft Exchange ausnutzen. Ende November 2022 stellten Experten von Bitdefender Labs eine deutliche Zunahme solcher Attacken fest, die auf On-Premises Microsoft Exchange-Bereitstellungen abzielten, indem sie ProxyNotShell/OWASSRF-Exploit-Ketten nutzten. Diese Angriffe verdeutlichen, dass traditionelle Antivirenprodukte allein oft nicht ausreichen, um vor den raffinierten Taktiken heutiger Cyberkrimineller zu schützen. Server-Side Request Forgery (SSRF)-Angriffe auf Microsoft Exchange-Server gehören zu den am häufigsten genutzten Schwachstellen. Die hier präsentierten Erkenntnisse und Fallstudien bieten tiefe Einblicke in die Bedrohungslandschaft des Jahres 2022 und zeigen, welche Aspekte bei der Bewertung moderner Schutzlösungen entscheidend sind.

Die Bedrohungslandschaft 2022: Warum herkömmlicher Schutz nicht mehr ausreicht

Die Service-orientierte Architektur (SOA) hat sich über lange Zeit bewährt. Sie ist ein Software-Designansatz, der ein System als Sammlung von Diensten organisiert, die über klar definierte Schnittstellen miteinander kommunizieren. Die Hauptidee hinter SOA ist, die unabhängige Entwicklung und Wartung verschiedener Softwarekomponenten zu ermöglichen und diese in unterschiedlichen Kombinationen zur Erstellung neuer Systeme zu komponieren und wiederzuverwenden.

Ein Hauptvorteil von SOA ist die größere Flexibilität und Skalierbarkeit durch das Aufheben von Anwendungsgrenzen. Dieses Konzept führte jedoch auch zu neuen Sicherheitsherausforderungen, da Sicherheitsmodelle nicht länger fest in Anwendungen kodiert sind. Ein gängiger Ansatz ist es, nur wenige gehärtete Service-Endpunkte offenzulegen, die als Proxy für die anderen Dienste fungieren. Der Begriff „Endpunkt“ bezieht sich hier nicht auf einen physischen Endpunkt (wie Desktop oder Laptop), sondern auf einen netzwerkadressierbaren Endpunkt eines Dienstes, typischerweise eine URL, über die mit einer Dienstkomponente interagiert werden kann.

Grundlegende Implementierung eines Proxy-Service-Endpunkts, der eine Anfrage an den Backend-Dienst weiterleitet

Abb. 1 – Grundlegende Implementierung eines Proxy-Service-Endpunkts

Microsoft Exchange ist ein Beispiel für eine Anwendung, die Proxy-Dienste nutzt, um das sensible Backend vom unvertrauenswürdigen öffentlichen Netzwerk abzuschirmen. Über die Jahre entwickelte sich die Microsoft Exchange-Philosophie zu einem Prinzip der Co-Location – alle Exchange-Server (außer Edge-Transport-Server) sind Multi-Rollen-Server und verlassen sich auf die Trennung von Rollen. Die Client Access Services (CAS) bilden eine Schicht, die für die Annahme aller Arten von Client-Verbindungen (Frontend) und deren Weiterleitung an Backend-Dienste zuständig ist.

Abb. 2 – Hochrangiger Überblick über die Microsoft Exchange-Architektur

Da CAS- und Backend-Dienste auf demselben Exchange-Mailbox-Server gehostet werden, müssen Sicherheitskontrollen vorhanden sein. Backend-Dienste akzeptieren nur Anfragen mit einem gültigen Kerberos-Token von CAS. Selbst wenn eine direkte Verbindung zu ihnen hergestellt werden könnte, würden sie alle Verbindungen ablehnen, die nicht von einem der CAS-Dienste stammen. Hier zeigt sich, wie wichtig eine genaue Überprüfung ist, die in jedem guten antivirensoftware test 2022 beleuchtet werden sollte, um solche komplexen Interaktionen abzusichern.

Server-Side Request Forgery (SSRF) – Eine unterschätzte Gefahr

Wie bei vielen anderen “Secure by Design”-Architekturen wurden schnell neue Angriffstechniken entdeckt, um diese scheinbar sicheren Systeme anzugreifen. Server-Side Request Forgery (SSRF) ist eine Art von Angriff, die es einem Angreifer ermöglicht, eine manipulierte Anfrage von einem anfälligen Server im Namen des anfälligen Servers an einen anderen Server zu senden. Dies kann dem Angreifer den Zugriff auf Ressourcen oder Informationen ermöglichen, die ihm sonst nicht direkt zugänglich wären, und auch Aktionen im Namen des anfälligen Servers durchführen lassen.

Zum Beispiel könnte ein Angreifer, wenn eine Webanwendung anfällig für SSRF ist, eine Anfrage vom anfälligen Server an eine lokale Netzwerkressource senden, die normalerweise für den Angreifer nicht zugänglich ist, wie etwa eine Datenbank. Alternativ könnte der Angreifer eine Anfrage an einen externen Server, beispielsweise einen Cloud-Dienst, senden, um Aktionen im Namen des anfälligen Servers durchzuführen. Um einen SSRF-Angriff erfolgreich auszuführen, muss der Angreifer in der Lage sein, eine Anfrage vom anfälligen Server zu senden, und auch den Inhalt der Anfrage so manipulieren können, dass er die gewünschten Ressourcen zugreifen oder die gewünschten Aktionen ausführen kann.

Abb. 4 – Ein Beispiel für einen SSRF-Angriff, der einen Proxy-Service-Endpunkt ins Visier nimmt

Exchange Proxy-Angriffe: Evolution und Techniken (2021-2022)

Die meisten Schwachstellen, die von Sicherheitsforschern entdeckt werden, basieren auf fehlerhaften Implementierungen – zum Beispiel Speicherfehler oder Code-Injektionen. Es ist eher selten, Schwachstellen in der High-Level-Architektur zu finden. Architektur-Schwachstellen sind in Produktionssystemen schwer zu beheben, insbesondere bei weit verbreiteter Software, bei der Abwärtskompatibilität ein wichtiges Merkmal ist – wie bei Microsoft Exchange-Servern.

Anfang 2021 beschlossen die Sicherheitsforscher Orange Tsai und das DEVCORE Research Team, die CAS-Implementierung genauer unter die Lupe zu nehmen. Überraschenderweise entdeckten sie nicht nur mehrere kritische Schwachstellen, sondern identifizierten CAS auch als eine neue Angriffsfläche, die auf allen Microsoft Exchange-Servern seit Exchange 2013 vorhanden ist. Die CAS-Implementierung auf On-Premises Microsoft Exchange-Servern ist anfällig für SSRF-Angriffe. Und diese erste Entdeckung war nur die Spitze des Eisbergs.

Abb. 5 – Microsoft Exchange CAS ist anfällig für SSRF-Angriffe

SSRF-Angriffe sind typischerweise auf die Verletzung der Verfügbarkeit oder Vertraulichkeit beschränkt – zum Beispiel Denial of Service oder die Offenlegung sensibler Daten. Werden sie jedoch mit anderen Schwachstellen kombiniert, können sie Exploit-Ketten bilden, die zu Remote Code Execution (RCE) führen. Moderne Antivirensoftware Test 2022 Prüfungen müssen daher die Erkennung und Abwehr solcher Ketten umfassen.

Betrachten wir eine dieser Exploit-Ketten genauer, um besser zu verstehen, wie Exploits zusammenarbeiten. Wir verwenden ProxyShell als Beispiel, mit seiner Kombination aus drei verschiedenen Exploits. Der erste Exploit ist der bekannte SSRF-Angriff, der SYSTEM-Zugriff auf die Backend-Dienste gewährt. Da SYSTEM keine Mailboxen daran angehängt hat, nutzt der Bedrohungsakteur einen (De-)Eskalations-Exploit, um seinen/ihren Zugriff auf ein Domänenkonto “herunterzustufen”. Als Nächstes speichert der Bedrohungsakteur den Code der Web-Shell als E-Mail in der Mailbox-Datenbank. Mithilfe von PowerShell Remoting wird diese E-Mail dann mithilfe des New-MailBoxExportRequest-Cmdlets als .pst-Datei exportiert, jedoch mit der Erweiterung .aspx (die anfällige Version von Exchange validiert die Dateierweiterung nicht). Da die permutative Kodierung, die das PST-Dateiformat verwendet, gut dokumentiert ist, wird der verschlüsselte Web-Shell-Code in einem Format gespeichert, das während des Exportvorgangs automatisch entschlüsselt wird (clever!). Wenn man solche komplexen Mechanismen versteht, kann man auch besser einschätzen, welche Funktionen zum Beispiel bei einem excel windows server wichtig sind, um die Sicherheit zu gewährleisten.

Abb. 6 – ProxyShell Exploit-Kette

Microsoft Exchange ist aus verschiedenen Gründen ein ideales Ziel für diese Exploit-Ketten:

• Es gibt ein komplexes Netzwerk von Frontend- und Backend-Diensten mit Legacy-Code zur Gewährleistung der Abwärtskompatibilität (viele-zu-viele-Beziehungen).
• Backend-Dienste vertrauen den Anfragen von der Frontend-CAS-Schicht – im Falle eines SSRF-Angriffs wird ein gültiges Kerberos-Token von CAS generiert.
• Mehrere Backend-Dienste, die als Exchange Server selbst laufen (SYSTEM-Konto).
• Remote PowerShell (RPS) enthält Hunderte von PowerShell-Cmdlets.

In relativ kurzer Zeit wurden mehrere Kombinationen von Schwachstellen entdeckt:

• ProxyLogon – Die ursprüngliche Exploit-Kette war eine Kombination aus CVE-2021-26855 und CVE-2021-27065. Das Ergebnis war eine RCE-Kette, die keine Authentifizierung erforderte.
• ProxyShell – Die zweite Exploit-Kette war eine Kombination aus CVE-2021-34473, CVE-2021-34523 und CVE-2021-31207. Das Ergebnis war eine RCE-Kette, die keine Authentifizierung erforderte.
• ProxyNotShell – Diese Exploit-Kette war eine Kombination aus CVE-2022-41080 und CVE-2022-41082. Während diese RCE-Kette eine Authentifizierung erfordert, können beliebige gültige Anmeldeinformationen zur Eskalation des Zugriffs verwendet werden.
• OWASSRF – Zuerst von Crowdstrike gemeldet, verwendet diese Exploit-Kette dieselbe Kombination von Schwachstellen wie ProxyNotShell. Der Unterschied besteht darin, dass anstelle des Autodiscover-Dienstendpunkts der OWA-Dienstendpunkt vom CAS-Frontend verwendet wird. Durch das Ändern des vom SSRF-Angriff anvisierten Dienstendpunkts können Bedrohungsakteure die von Microsoft bereitgestellten Minderungshinweise umgehen.

Diese Liste der Exploit-Ketten ist keineswegs erschöpfend – es gibt weitere Ketten, die Autodiscover- und OWA-Dienste ausnutzen. Es überrascht nicht, dass diese Exchange-Schwachstellen sowohl in den “2021 Top Routinely Exploited Vulnerabilities” als auch in den “Top CVEs Actively Exploited by People’s Republic of China State-Sponsored Cyber Actors” (ab Oktober 2022) aufgeführt sind. Ein gründlicher Antivirensoftware Test 2022 muss daher auch die Abwehr solcher fortgeschrittenen, sich schnell entwickelnden Bedrohungen berücksichtigen.

Praxisfälle 2022: So sah die Bedrohung aus

In diesem Abschnitt werfen wir einen Blick auf einige reale Angriffe, die unsere Experten in den Bitdefender Labs entdeckt haben. Ende November 2022 stellten wir eine verstärkte Nutzung von ProxyNotShell/OWASSRF zur Ausführung bösartiger Befehle fest. Die Angriffsziele befanden sich hauptsächlich in den Vereinigten Staaten, aber auch Unternehmen aus Polen, Österreich, Kuwait und der Türkei waren betroffen. Die Branchen dieser Opfer waren Immobilien, Anwaltskanzleien, Fertigung, Beratung, Großhandel, Kunst & Unterhaltung, aber wie erwartet waren die meisten dieser Angriffe opportunistisch und nicht gezielt.

Fall 1 – Remote-Administrationstools

Im ersten Fall nutzten Bedrohungsakteure die ProxyNotShell-Exploit-Kette und versuchten, zwei verschiedene Remote-Access-Tools zu deployen. Das erste Tool war Meterpreter – eine Metasploit-Angriffsnutzlast, die eine interaktive Shell bereitstellt und mithilfe von In-Memory-DLL-Injektion eingesetzt wird –, das zweite war ConnectWise Control (ehemals ScreenConnect). Die Bedeutung einer robusten Verteidigung gegen solche Einschleusungsversuche ist ein Kernelement für jeden excel formel mwst berechnen oder anderen geschäftskritischen Prozess, der auf sicheren Systemen ausgeführt werden muss.

Beispiele für Befehlszeilen, die während dieses Angriffs erkannt (und blockiert) wurden:

Die Angriffe wurden von den IP-Adressen 64.190.113[.]48 und 162.243.150[.]6 gestartet. Alle Staging-Server, von denen die Nutzlast heruntergeladen wurde, waren zuvor kompromittierte Microsoft Exchange-Server, höchstwahrscheinlich mit derselben Methode kompromittiert.

Alle URLs und Befehlszeilen wurden blockiert, und wir können nur vermuten, dass die Bereitstellung von Ransomware das wahrscheinlichste Ziel für die Bedrohungsakteure war.

Fall 2 – Initial Access Broker

Im zweiten Fall versuchten Bedrohungsakteure, mittels Web-Shells Persistenz auf dem kompromittierten System zu installieren. Eine Web-Shell ist ein bösartiges Programm (oder Skript), das auf einen Webserver hochgeladen wird, um unbefugten Zugriff auf den Server zu erlangen. Sobald die Web-Shell eingesetzt ist, ermöglicht sie einem Angreifer die Ausführung beliebiger Befehle oder Skripte und die Durchführung einer Vielzahl von Aktionen, wie das Hochladen zusätzlicher Malware, das Stehlen sensibler Daten oder das Starten von Angriffen auf andere Systeme.

Web-Shells werden häufig von Initial Access Brokern (IAB) verwendet. Ein Initial Access Broker ist eine Art Cyberkrimineller, der sich darauf spezialisiert hat, den initialen Zugriff auf das Netzwerk einer Zielorganisation zu erlangen. Sobald der initiale Zugriff erlangt wurde, kann der Access Broker den Zugriff auf das kompromittierte Netzwerk an andere kriminelle Gruppen verkaufen oder vermieten.

Schwachstellen wie Exchange-Proxy-Exploit-Ketten sind eine Goldgrube für Access Broker, da sie oft opportunistische Angriffe anstelle von gezielten bevorzugen. Mit dem Aufkommen von Ransomware-as-a-Service-Gruppen können Initial Access Broker eine stetige Versorgung mit potenziellen Ransomware-Zielen für Ransomware-Affiliates bereitstellen. Ein seriöser Antivirensoftware Test 2022 muss auch die Erkennung und Abwehr solcher IAB-Taktiken berücksichtigen.

Bei diesem Angriff werden mehrere Echo-Befehle miteinander verkettet, um eine ausführbare Base64-Datei auf einer Festplatte zu generieren. Dies zeigt, wie Angreifer kreative Wege finden, um Schutzmechanismen zu umgehen, ähnlich wie man mit excel cube funktionen komplexe Datenstrukturen manipulieren kann, wenn die zugrunde liegende Sicherheit unzureichend ist.

Die Echo-Kette wird auch verwendet, um eine VBScript-Datei am Speicherort %TEMP%qawWu.vbs zu generieren. Nach Ausführung dieser VBScript-Datei liest sie den Inhalt der Base64-Datei sMIod.b64, dekodiert ihren Inhalt und speichert ihn an einem neuen Speicherort %TEMP%ujjQl.exe. Nach dieser Operation wird die ausführbare Datei gestartet und beide Dateien sMIod.b64 und qawWu.vbs werden gelöscht.

Nachdem ujjQl.exe ausgeführt wurde, lädt diese bösartige ausführbare Datei eine weitere ausführbare Datei von http://mail.p***a.com/owa/auth/data.zip (MD5 ad362104eea7afcd727b77e89a4a5e2e) herunter. Als Ergebnis dieser Operation werden zwei .aspx-Dateien (Web-Shells) an folgenden Speicherorten erstellt:

• %ExchangeInstallPath%FrontEndHttpProxyecpauthLogout.aspx (MD5 ad086021b7ee50ff5b9acec4d79736be)
• %SystemDrive%inetpubwwwrootaspnet_clientsystem_web\iisstart.aspx (MD5 607a6987395f02086e0e355c9ba4d76e)

Fall 3 – Cuba Ransomware

In diesem Fall nutzten Bedrohungsakteure die ProxyNotShell-Exploit-Kette, um PowerShell-Befehle auszuführen. Zunächst versuchten sie, die komar<xx>.dll</xx> herunterzuladen, die wir als Bughatch-Downloader identifizierten. Bughatch ist dafür bekannt, bei Cuba-Ransomware-Operationen eingesetzt zu werden, aber unsere Attribution basiert hauptsächlich auf vielen bekannten IOCs und wiederverwendeter Infrastruktur. Nachdem die Download-Befehle blockiert wurden, fuhren sie mit der unbeaufsichtigten (stillen) Installation des GoToAssist-Tools fort. GoToAssist ist eine legitime Remote-Support-Software von LogMeIn Inc.

Der nächste Schritt war die laterale Bewegung mittels GoToAssist. Diese Art der Netzwerkdurchdringung ist ein Alarmsignal, das ein guter schiffe versenken excel anleitung nicht lösen würde, aber eine fortschrittliche Antivirensoftware erkennen und unterbinden sollte.

Um den Zugriff aufrechtzuerhalten, erstellten die Bedrohungsakteure auch Benutzerkonten mit lokalen Administratorrechten. Sie versuchten, verschiedene Tools herunterzuladen, wobei einige Dateien über PowerShell und andere Dateien von den bereitgestellten Tools heruntergeladen wurden. Die Analyse der heruntergeladenen Tools: