Lücken von 2014 öffnen Chinas Dienstleister noch Türen

Sieben Domains beschlagnahmt, sieben Regierungen unterzeichnet

Am 8. Oktober gab das FBI die Beschlagnahme von sieben Web-Domains bekannt, die mit Hackingwerkzeugen zusammenhängen, die laut US-Gerichtsunterlagen von der Integrity Technology Group betrieben wurden, einem Unternehmen in China, das nach Angaben der Behörden Verbindungen zur chinesischen Regierung hat. Zugleich veröffentlichten Behörden aus sieben Ländern eine gemeinsame Warnung mit der Nummer AA26-281A.

Die Autoren sind das FBI, CISA und die NSA in den USA, das britische NCSC, das australische ACSC, das kanadische Cyber Centre, die japanische Nationale Polizeibehörde und das Nationale Amt für Cybersicherheit, das neuseeländische NCSC und der spanische CNI. Sie sagen, von Integrity Tech unterstützte Akteure verbänden automatisiertes Scannen, große Botnetze und manuelle Ausnutzung, um Daten zu stehlen, und die Aktivität entspreche dem, was öffentlich als Flax Typhoon, Ethereal Panda und Red Juliett verfolgt wird. Das NCSC ergänzt, dass die britische Regierung Integrity Tech im vergangenen Jahr sanktioniert hat.

Laut Gerichtsunterlagen baute Integrity Tech ein Botnetz auf Basis einer Mirai-Variante und den Schwachstellenscanner Microscan, betrieb ein Werkzeug namens FishHub und unterhält Verträge mit der chinesischen Regierung. Außerdem habe ein Datenbankserver Einträge zu mehr als 1,2 Millionen infizierten Geräten enthalten, Stand 5. Juni 2024, darunter über 385.000 in den USA.

Die älteste Lücke der Liste stammt von 2014

Acht CVEs erscheinen in der Warnung als erfolgreich ausgenutzt, und vier davon tragen eine Nummer von 2014, 2015 oder 2016.

Laut Warnung stammen diese CVEs aus den Penetrationstest-Skripten des Scanners und wurden erfolgreich ausgenutzt. Nichts in der Liste braucht einen neuen Exploit. Gebraucht wird Software, die niemand gepatcht hat und die aus dem Internet erreichbar ist, und Microscan, seit mindestens 2017 im Einsatz, enthält mehr als 1.300 solcher Skripte.

Wie die Akteure hineinkommen und bleiben

Die Warnung beschreibt eine kurze Kette, die mit einem Scan beginnt. Werkzeuge wie nmap und masscan prüfen die Ports 21, 22, 53, 80, 443 und 1080, und die Akteure nutzen dann aus, was sie finden, oder ernten Passwörter mit Cross-Site-Scripting-Code, der ein gefälschtes Anmeldefeld einblendet.

Für E-Mails setzen sie ein Open-Source-Werkzeug namens EBurst ein, um Passwörter gegen Anmeldeschnittstellen von Microsoft Exchange zu sprühen und zu raten, darunter Outlook Web Access, Exchange Web Services und Autodiscover. Zur Verankerung installieren sie SoftEther-VPN-Clients, oft benannt als conhost.exe oder dllhost.exe, die Endpunktschutz seltener meldet, weil das Programm legitim ist. Skripte ziehen dann E-Mails und Zugangsdaten ab.

Was diese Woche zu prüfen ist

Beginnen Sie mit der Angriffsfläche, denn jeder Schritt oben setzt etwas voraus, das aus dem Internet erreichbar ist. Listen Sie auf, was auf den Ports 21, 22, 53, 80, 443 und 1080 antwortet, und schließen Sie, was niemand nutzt, was die erste empfohlene Maßnahme der Warnung ist.

Gleichen Sie dann Ihre Software mit der Tabelle ab. Wenn Sie ProFTPD, BIND, Apache Struts, Pulse Connect Secure, GitLab, ONLYOFFICE DocumentServer, Strapi oder ein ungepatchtes Bash betreiben, prüfen Sie die Version und patchen oder ersetzen Sie sie. Die Warnung rät auch, Produkte am Lebensende zu ersetzen.

Verlangen Sie schließlich Multifaktor-Authentifizierung bei Webmail- und VPN-Anmeldungen, was die Warnung besonders hervorhebt, und prüfen Sie Webanwendungsprotokolle auf Pfadumgehung, Befehlseinschleusung und Aufklärungsversuche. Für Organisationen in Großbritannien und der EU ist das Signal, dass das NCSC und Spaniens CNI mitunterzeichnet haben und Gerichtsunterlagen einen polnischen Flughafen unter den gescannten Netzen nennen, es ist also nicht nur eine US-Geschichte.

Weiterlesen: Deutschland setzt 2030 und 2035 als Quantenfristen  |  NetScalers drittes Zero-Day-Problem in 90 Tagen