Am 02.03.2021 teilte Microsoft mit, dass Schwachstellen in Microsoft Exchange-Servern (=E-Mail Server) aktiv durch Hacker ausgenutzt wurden und werden. Daraufhin stellte Microsoft ein Update für die Nutzer bereit.
Was ist passiert?
Durch vier Schwachstellen (CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, CVE-2021-27065) wurde es Hackern ermöglicht, Daten abzugreifen (z.B. E-Mail-Kommunikation) und sich dadurch ggfs. Zugang zum gesamten Unternehmensnetzwerk zu verschaffen und Schadsoftware auf den Systemen zu implementieren.
Der Hackerangriff betrifft laut Bundesamt für Sicherheit in der Informationstechnik (BSI) ca. 9.000 in Deutschland ansässige Unternehmen. Das BSI schätzt die Bedrohung als sehr hoch ein und hat bereits damit begonnen, potenziell Betroffene zu informieren. Laut Microsoft sind von dem Hackerangriff keine Privatpersonen und deren Exchange Server betroffen.
Was ist jetzt zu tun?
Sofern noch nicht erfolgt, sollten Unternehmen umgehend die von Microsoft bereitgestellten Updates implementieren, um diese Schwachstellen zu schließen. Zudem sollte von den Systemadministratoren über das von Microsoft zur Verfügung gestellte Powershell-Skript geprüft werden, ob ein Exchange-Server bereits erfolgreich angegriffen wurde. Wenn bereits ein erfolgreicher Hackerangriff stattgefunden hat, muss das Unternehmen in den Incident Response Modus wechseln und entsprechende Nachforschungen betreiben.
Genauere Ausführungen zu den Schwachstellen und zum weiteren Vorgehen entnehmen Sie der: Sicherheitswarnung des BSI.
Laura Piater
Justiziarin
Consultant für Datenschutz
In der aktuellen Situation müssen immer mehr Unternehmen ihre IT-Infrastruktur umstellen, indem sie in kurzer Zeit viele Home-Office-Arbeitsplätze schaffen. Die Ausweitung der digitalen Nutzung und die allgemeine Hektik wird derzeit leider vermehrt von Cyberkriminellen missbraucht. Gerade auch, weil anderen Themen – wie Datenschutz und Datensicherheit – nicht mehr die nötige Aufmerksamkeit geschenkt werden kann oder Mitarbeiter weniger achtsam sind und bspw. auf Phishing-Mails hereinfallen.
Daher sollten auch während der jetzigen Zeit Maßnahmen zur Abwehr von Cyber-Attacken getroffen werden:
Warnen Sie Ihre Mitarbeiter vor Phishing-Angriffen
Weisen Sie Ihre Mitarbeiter noch einmal darauf hin, dass vermehrt E-Mails, SMS und Chatnachrichten verschickt werden (insbesondere mit Infos zum Coronavirus, mit Angeboten von Atemschutzmasken oder Desinfektionsmitteln sowie Online-Formularen für Reiseverzichtserklärungen oder Spenden), die Schadsoftware in Anhängen oder Links enthalten, die dazu verleiten, sich auf eine kompromittierte oder gefälschte Website zu begeben; solche Phishing-Mails sind das erste Einfallstor in Ihr Unternehmensnetzwerk.
Verstärken Sie die Sicherheit Ihrer Informationssysteme und Unternehmensnetzwerke
Verstärken Sie gerade jetzt Ihre Sicherheitsmaßnahmen zur Erkennung oder Verhinderung von Cyber-Angriffen:
- Inventarisierung der an Mitarbeiter ausgegebenen Arbeitsmittel (PC, Notebook, Smartphone etc.)
- Zeitnahe Einspielung von Sicherheitspatches, insbesondere derzeit von den eingesetzten VPN-Lösungen
- Verbesserung der Authentifizierungsverfahren, mit denen sich Benutzer, insbesondere von ihren Home-Office-Arbeitsplätzen an den Systemen anmelden.
- Sicherheitsüberwachung, bspw. durch eine umfangreichere Auswertung der Protokolldaten.
- Evaluierung, ob Ihre getroffenen Maßnahmen wirksam sind, bspw. durch IT Health Checks oder Penetration Tests.
Die Liste an Maßnahmen, sowohl für den Arbeitgeber als auch den Arbeitnehmer, ist sehr umfassend, kommen Sie bei Fragen dazu bitte direkt auf uns zu!
Gerne unterstützen und beraten wir Sie auch kurzfristig zu weiteren Themen wie z.B.
- Zugriffsrechte, Speicherdauer und Informationspflichten
- Umgang mit Besucherdaten
- Übermittlung von Betroffenendaten an Öffentliche Stellen
- IT Health Checks und Penetration Tests
(Hier geht's zu Teil-2 des Blogbeitrags!)
Unsere Kontaktdaten für Ihre Datenschutz-Fragen:
Dr. Bettina Kraft
Tel. +49 731 20589-24
Unsere Kontaktdaten für IT Health Checks und Penetration Tests:
Holger Heimann
Tel. +49 731 20589-0
E-Mail: pentests@it-sec.de
Bleiben Sie gesund!
Ihre it.sec GmbH
Dass Office-Dokumente, die per E-Mail eingehen, nicht vorbehaltlos vom Anwender geöffnet werden dürfen, da sie Schadsoftware beinhalten können, ist mittlerweile schon bekannt. Doch dieses Mal ist nicht die bei Hackern beliebte Makro-Funktion das Problem, sondern die sogenannte Power-Query-Funktion.
Mit dieser Power-Query-Funktion ist es nun möglich, dass Daten in dem Excel aus externen Quellen geladen werden. Dies klingt im Grunde nicht schlecht, da damit Preise oder sonstige Daten immer aktuell gehalten werden können. In den Einstellungen ist es auch möglich diese Aktualisierungsrate zu präzisieren. Dabei kann angegeben werden, ob die Datei nur beim Öffnen aktualisiert werden soll oder ob auch während des Bearbeitens der Datei eine Hintergrundaktualisierung laufen soll.
Die Sicherheitslücke der Power-Query-Funktion ist für einen Angreifer nicht schwierig auszunutzen. Beim Einbinden der externen Quellen, kann ein Angreifer einfach auf eine Schadsoftware verlinken. Je nach Schadsoftware oder Motiv könnte ein Angreifer versuchen, den Computer zu übernehmen, wichtige Daten zu löschen oder zu verändern.
Die Power-Query-Funktion basiert auf dem sogenannten Dynamic Data Exchange (DDE) Protokoll. Da Microsoft schon vor längerer Zeit bemerkte, dass DDE genutzt werden kann, um Schadsoftware zu übertragen, wurde Microsoft Excel 2016 mit einem Sicherheitsmechanismus versehen. Ab Excel 2016 muss der Benutzer einen Doppelklick auf die Zelle durchführen, um das Aktualisieren der externen Daten zu ermöglichen. Dieser Sicherheitsmechanismus konnte jedoch schon ausgehebelt werden. Ein Angreifer muss dafür eine ältere Excel-Version mit der schadhaften Power-Query-Funktion generieren und verschicken. Excel 2016 öffnet diese älteren Versionen ohne Probleme, jedoch ohne Sicherheitsmechanismus. Die Bestätigung bzw. der Doppelklick des Benutzers wird bei älteren Versionen nicht benötigt und die Aktualisierung bzw. die Ausführung der Schadsoftware wird automatisch vorgenommen.
Von Microsoft wird die Power-Query-Funktion nicht als Sicherheitslücke angesehen. Somit wird laut Mimecast derzeit kein Fix angeboten, sondern nur ein Workaround, um der potenziellen Schadsoftware aus dem Weg zu gehen.
Der Workaround von Microsoft empfiehlt die Deaktivierung der Power-Query-Funktion. Dafür gibt es zwei Möglichkeiten. Eine Möglichkeit wäre es die Funktion über die Benutzeroberfläche zu deaktivieren. Zweite Variante wäre die DDE-Funktion in der Registry zu deaktivieren. Genaue Vorgehensweise für die Deaktivierung kann direkt im offiziellen Workaround nachgelesen werden.
Kathrin Hufnagl
IT Security Consultant