Der Patch kommt fast immer zu spät.
Sechs Schwachstellen, aus denen in den vergangenen Jahren echte Vorfälle wurden, auf eine Skala gelegt: die Zeit zwischen dem Beginn der Ausnutzung und dem Tag, an dem jemand ein Advisory dazu veröffentlichte. Bei vier von sechs ist diese Differenz negativ.
4/6
vor Veröffentlichung ausgenutzt.
Das Ausnutzungsfenster
Die gestrichelte Linie ist der Tag, an dem der Hersteller sein Advisory veröffentlichte. Alles links davon wurde bereits ausgenutzt, bevor die Schwachstelle auf dem Papier existierte. Keine noch so straffe Patch-Richtlinie schließt ein Fenster, das sich öffnete, bevor jemand davon wusste.
- CVE-2023-4966NetScaler ADC / Gateway≈-50 d · vor Veröffentlichung ausgenutzt
- CVE-2023-20198IOS XE Web UI-18 d · vor Veröffentlichung ausgenutzt
- CVE-2024-3400PAN-OS GlobalProtect-17 d · vor Veröffentlichung ausgenutzt
- CVE-2023-34362MOVEit Transfer-5 d · vor Veröffentlichung ausgenutzt
- CVE-2021-44228Log4j 20 d · nach Veröffentlichung ausgenutzt
- CVE-2018-13379FortiOS SSL VPN+77 d · nach Veröffentlichung ausgenutzt
Deshalb ist Patchen notwendig, aber nicht hinreichend. Die Lücke schließt, wer weiß, was er am Internet hat, und wer jemanden mit dem Blick eines Angreifers darauf schauen lässt, bevor es ein Angreifer tut.
Von der Klasse zum Vorfall
Keiner dieser Vorfälle beruht auf einer neuen Art von Fehler. Es sind die Schwachstellenklassen, die diese Wissensdatenbank erklärt, gefunden in Software, die tausende Organisationen betreiben. Wer die Klasse versteht, erkennt den nächsten Fall, bevor er einen Namen hat.
Die sechs Fälle
- CWE-22A01:2021FortiOS SSL VPN (CVE-2018-13379)CVE-2018-13379 erklärt: wie ein Path Traversal im FortiOS SSL VPN Passwörter im Klartext preisgab und Jahre später noch ausgenutzt wurde.
- CWE-917A03:2021Log4Shell (CVE-2021-44228)Log4Shell erklärt: wie eine Zeile Text in einer Logdatei Code auf Ihrem Server ausführte, wer sie ausnutzte und was Sie heute noch prüfen sollten.
- CWE-89A03:2021MOVEit Transfer (CVE-2023-34362)CVE-2023-34362 erklärt: wie eine SQL Injection in MOVEit Transfer der Erpressergruppe Cl0p Zugriff auf die Daten tausender Organisationen gab.
- CWE-420A05:2021Cisco IOS XE Web UI (CVE-2023-20198)CVE-2023-20198 erklärt: wie eine ins Internet gestellte Verwaltungsoberfläche in Cisco IOS XE Angreifern ein Administratorkonto anlegen ließ.
- CWE-119A07:2021Citrix Bleed (CVE-2023-4966)Citrix Bleed erklärt: wie Angreifer Session-Tokens aus dem NetScaler-Speicher lasen, damit MFA umgingen und warum Patchen allein nicht reichte.
- CWE-77A03:2021PAN-OS GlobalProtect (CVE-2024-3400)CVE-2024-3400 erklärt: wie eine Befehlsinjektion im GlobalProtect-Gateway von PAN-OS Angreifern Root-Rechte auf der Firewall verschaffte.
Wer dahintersteckt
Angreifer sind keine anonyme Masse. Es sind organisierte Gruppen mit einem Geschäftsmodell oder einem Auftrag und mit einer wiedererkennbaren Art hereinzukommen. Diese sechs prägen einen großen Teil des Bildes.
Cl0p
Erpressung
Erpressung in großem Maßstab, ohne Verschlüsselung
Cl0p kauft keinen Zugang, sondern sucht selbst nach unbekannten Schwachstellen in Software für Dateiaustausch und setzt sie dann in einer Welle bei hunderten Organisationen gleichzeitig ein. Nacheinander Accellion FTA, GoAnywhere MFT, MOVEit Transfer und Cleo. Verschlüsselt wird nichts: Die Daten werden gestohlen, und ihre Veröffentlichung ist das Druckmittel.
LockBit
Erpressung
Ransomware als Dienstleistung
LockBit liefert die Schadsoftware und die Erpressungsplattform; einzelne Affiliates erledigen den Einbruch und teilen den Erlös. Diese Affiliates sind beim Zugang selten kreativ: Sie nutzen ungepatchte Randgeräte und gestohlene Zugangsdaten. Bei Citrix Bleed waren sie die Partei, die erbeutete Session-Tokens in Vorfälle verwandelte.
Akira
Erpressung
Ransomware über das VPN
Akira ist seit 2023 aktiv und kommt fast immer auf demselben Weg herein: über VPN-Zugänge ohne zweiten Faktor. Kein Zero-Day, kein Phishing, einfach ein gültiges Passwort an einem Portal, das nach nichts anderem fragt. Damit ist die Gruppe ein guter Gradmesser dafür, wie solide Ihre Zugangsverwaltung tatsächlich ist.
Scattered Spider
Zugang
Social Engineering am Service Desk
Scattered Spider braucht keine Schwachstelle. Die Gruppe ruft den Service Desk an, gibt sich als Mitarbeiter aus und lässt ein Passwort oder ein MFA-Token zurücksetzen. Dazu kommen SIM-Swapping und das Zermürben von Nutzern mit endlosen MFA-Anfragen. Technik hält das nicht auf, klare Verfahren und eine härtere Identitätsprüfung schon.
Volt Typhoon
staatlich
Staatliche Vorbereitung in kritischen Sektoren
Westliche Dienste ordnen Volt Typhoon China zu, und die Gruppe fällt durch das auf, was sie nicht tut: keine Schadsoftware, keine Ransomware, keine sichtbare Beute. Sie kommt über Randgeräte herein und arbeitet danach mit den Verwaltungswerkzeugen, die ohnehin vorhanden sind, um jahrelang in kritischer Infrastruktur zu bleiben.
Sandworm
staatlich
Destruktive staatliche Operationen
Sandworm wird dem russischen Militärgeheimdienst zugeschrieben und steht hinter einer Reihe destruktiver Angriffe, von NotPetya bis zu wiederholten Angriffen auf das ukrainische Stromnetz. Das Ziel ist kein Geld, sondern Ausfall, was die Gruppe zu einer anderen Art von Risiko macht als eine Erpresserbande.