#29 Cyberangriffe: Vom Sharepoint Angriff ToolShell und einer zerstörungswütigen KI

[00:00] Willkommen zu 2 Faktor Geplauder, Euren Podcast oder um Cybersicherheit, Datenschutz die spannendsten Geschichten aus der digitalen Welt Ich bin Martin Gabler und plaudere jede Woche mit Mark Lessing und zu unserer 28. Folge am 24. Juli haben wir wieder

[00:15] Cyberangriffe von der Woche mitgebracht und wir haben uns, weil das gerade wirklich ganz schwer durch die Presse geht, Microsoft sharepoint. Als Sicherheitslücke. Wir haben einen Hack auf Vodafone Dienstleister Operation Eastwood und Raplit ja und es gibt noch ganz ganz ganz viele

[00:35] andere, wenn wir noch ein bisschen Zeit haben, rattere ich die einmal runter, aber Marc es ist alles gar nicht zu dem was Microsoft sharepoint ja entdeckt. Ausgelöst. Hat ausgelöst hat. Soll ich damit einfach mal anfangen?

[00:49] Ja, also ich könnt noch mit einer Anekdote von unserem Wochenende. Ach oh Gott, das lassen wir lieber weg. Mark und ich waren Canyoning und wir haben gemerkt, Onosicherheit sei geht gar nicht. Ja, ja, wir haben mal Security getestet.

[01:08] Ja. Ja, aber. Ja, dieses Ding, das du schon benannt hast. Es hat einen Namen, das hat mich am am Montag am meisten irritiert, dass ich immer von von einer sharepoint Vulnerability sprechen musste. Normalerweise haben so große

[01:23] Angriffe nen eigenen Namen, wie wenn jemand der Name noch was sagt, zum Beispiel die Spectre, die Spectre Angriffe auf Intel CPUS. Jetzt hat dieses Ding auch n Namen, die Vulnerability heißt Toolshell. So, warum kommen wir noch drauf? Was ist denn so ganz genau

[01:40] passiert? Ich versuche jetzt einmal kurz wirklich kurz einen einen kleinen Zeitstrahl rundown zu machen, was bei sharepoint vorgefallen ist oder bei Microsoft, der ist nämlich am Wochenende aufgetaucht, aber die ersten Versuche, diese damals noch unbekannte Schwachstelle

[01:56] auszunutzen, gehen auf 7.7. Dieses Jahres zurück. Schon da hat Checkpoint Research jetzt im Nachhinein nachweisen können, dass es damals da schon an. Angriffe gab. Allerdings könnte es auch sein, dass die erfolglos waren oder sie einfach komplett bisher

[02:14] unentdeckt waren, die Angriffe dann am achten 10. Juli, das war der. Donnerstag, Freitag letzte Woche hat Sentinel One den ersten expliziten Exploit versucht, dokumentiert auf sharepoint und am 18 Juli, also am immer noch am Freitag, hat dann i Security so wie das Auge eine

[02:38] großflächige Ausnutzung Nutzung dieser Lücke, die jetzt toolshell heißt, mit Dutzenden kompromittierten Servern bestätigt, bei denen. Maschinenschlüssel entwendet wurden. Am Sonntag hat dann das Microsoft Security Response Center einen Blogbeitrag dazu

[02:55] veröffentlicht. Zu dem aktiven Angriff und hat Bezug darauf genommen, welche Schwachstellen hier ausgenutzt genutzt wurden. Am gleichen Tag kam dann auch noch ein Patch direkt mit raus von Microsoft um diese 2 Zero Day Lücken zu schließen, da wurde dann auch veröffentlicht

[03:13] das betrifft jetzt also wenn ihr sharepoint einsetzt gut zuhören wenn. Denn euch betrifft diese Schwachstelle nur, wenn ihr on premise Lösungen von sharepoint verwendet. Das heißt, Ihr habt einen eigenen Server bei euch stehen, wo sharepoint drauf läuft, wenn

[03:28] ihr das bei Microsoft habt und damit sharepoint Online verwendet ab, seid ihr nicht betroffen von dieser Schwachstelle. Mittlerweile wurden dann am Montag auch noch weitere Updates veröffentlicht von Microsoft und am Montag wurde auch noch von der Cisa, also von der US Cyber

[03:46] Security Behörde eine offizielle. Cvi zu dieser Schwachstelle in den Vulnerability Katalog aufgenommen und hat damit dann auch eine Patch Deadline für Bundesbehörden eingeführt. Also bis wann eine Bundesbehörde in den USA diese Updates durchgeführt haben muss.

[04:02] Da muss man jetzt dazu sagen. Am gleichen Tag kam noch eine Warnung raus, dass ungepatchte Server, wenn man dieses Update nicht fahren kann vom Internet zu trennen sind, was bei sharepoint ein wenig ein Problem sein könnte, aber es gab keinen anderen oder es gibt keinen anderen.

[04:18] Weg wenn ihr das Update nicht fahren könnt, um nicht kompromittierbar zu sein. Ihr könnt diese Maschinenschlüssel rotieren, also rotieren heißt in diesem Fall erneuern oder neu generieren, aber auch dann können eure Schlüssel danach trotzdem wieder kompromittiert

[04:33] werden. Genau und Googles heute hat jetzt also am 22 Juli hat Googles oberster Sicherheitsexperte. Den Ursprung der Angriffe mit oder identifiziert beziehungsweise die IP Adressen identifiziert und sich China zugeordnet.

[04:49] Google ja, aber wie da Google reinkommt finde ich auch eine wilde Nummer, aber scheint so zu sein und Microsoft bestätigt wohl weitergehende Untersuchungen. Das mit China würde ich jetzt mal wirklich mit ganz ganz viel Vorsicht genießen. Die Quellen die ich dafür habe

[05:05] sind. Wild The Times of India kann ich gar nicht mal bewerten, ob das jetzt eine super seriöse Zeitung ist oder wie auch immer. Was konnte denn gemacht werden über verschiedene Webshells, also wenn man zugreift auf auf den sharepoint werden? Gibt es so verschiedene

[05:21] Zugriffsmöglichkeiten? Eine davon ist eben Web shells, das ist, wie wenn ihr auf eurem Rechner, je nachdem wenn ihr einen Mac verwendet, Terminal eintippt oder bei einem Windows Rechner CMD, also die Command Line, so sieht es ungefähr aus und in so einer Web Shell werden interaktive Shell Funktionen.

[05:40] Oder da werden dann interaktive Shell Funktionen durchgeführt und darüber konnte man auch Redentials, also diese Machine Keys stehlen, wenn man die Keys hatte, war es möglich, dass ihr euch tiefer in das System reinhängen konntet, wodurch sogenanntes Lateral Movement möglich war.

[05:58] Es bedeutet jetzt mit lateral Movement lateral Movement heißt praktisch ihr habt einen Server wo sharepoint drauf ist und ihr habt parallel dazu zum Beispiel einen anderen Server stehen auf dem keine Ahnung. Irgendeine Datenbank läuft oder so oder irgendeine andere Anwendung und Lateral Movement

[06:15] heißt jetzt, dass ich auf dieser Ebene, dass wenn ich alle auf einer Ebene stehen, zu dem anderen Server springen kann. Das heißt, tendenziell war es möglich, die komplett das komplette Netzwerk dann am Ende zu kompromittieren, so habe ich. Keine schwere, schwere Kosten muss ich, muss ich sagen.

[06:30] Ich meine aber, es ist wirklich, es ist auch schwere Kosten für Microsoft, ich hätte jetzt auch sagen können, neuer neue Marketingmaßnahme um. Claudifizierung weiter voranzubringen, aber. Definitiv. Aber das würde ich jetzt mal an Microsoft gar nicht bestellen,

[06:48] sondern ist ja schon ein schwerwiegender Angriff vor allem. Das ist halt man den Schaden auch von den Leuten, die es kurzfristig auch angewendet haben oder jetzt noch anwenden, weil die Betroffenen nicht nicht gepatcht haben und so weiter das kann ist noch das Ausmaß ist auf

[07:04] jeden Fall noch unbekannt, ja. Also bei einer, bei einem größeren Unternehmen weiß ich auch, dass da am Montag, sagen wir, es war, sagen wir mal, es war ordentlich Puls vorhanden in der Cyber Security Abteilung und es mussten. So viele Informationen eingeholt werden, wo jetzt noch einen

[07:21] sharepoint liegen könnte, da ging. Es rund. Oh ja stimmt, wenn du deine deine Assets nicht wirklich gut verwaltet hast. Du weißt wo die Sharepoints da stehen. Ja, oder Du hast ein Problem, wenn zum Beispiel einen, also

[07:35] wird jetzt hoffentlich wirklich selten passieren. Aberschatten.it hatten wir auch mal drüber gesprochen, wenn ein Mitarbeiter eine eigene eigene Anwendungen verwendet, die nicht von der.it verwaltet werden, wenn die dann im Firmennetz hängen, keine Ahnung, der hat einen Rechner unterm Tisch

[07:49] stehen, da lässt er einen sharepoint drauf laufen und der Rechner hängt im Netz im Firmennetz. So was darf es nicht geben per Definition einer.it aber so was gibt es nun mal. Das ist ein sehr guter Punkt. Ich glaube, ist auch noch mal ein.

[08:01] Router aufruft mit selbst wenn wenn man denkt, man hat gar keinen sharepoint irgendwo Server stehen. Guckt euch lieber noch mal im Unternehmensnetzwerk um. Ja aber kommen wir mal ein bisschen zu was leichteren Kost. Ja, spannend, nicht spannender, aber leichter.

[08:16] Leichter, leichtere Kost. Also wir haben einen Angriff auf einen.it Dienstleister von der Vodafone und zwar. Der Dienstleister ist die derfrankfurter.it Dienstleister M und L. Und der hat im Prinzip die Plattform, die Vodafone Partnerplattform Salesworld

[08:37] betrieben. Und die wurden jetzt angegriffen. Gibt der Betreiber. Die wurden auch selbst von ihrer Plattform ausgesperrt und werden aktuell erpresst. Also. Wohl auch wahrscheinlich Lösegeldforderungen, das noch

[08:50] nicht nicht ganz hundertprozentig bestätigt, aber es ist halt schon sehr ärgerlich, dass selbst der Dienstleister komplett aus seinem Plattform ausgesperrt ist. Vodafone hat auf jeden Fall die ganzen Datenkommunikation getrennt zu der Plattform, was

[09:04] für eine Plattform ist das also es ist jetzt keine kritischen Daten auf dieser Plattform, das ist im Prinzip das Partnerprogramm, wo halt vertriebsinformationen und ja bereitgestellt wird und. Für externe und interne Partner und es auch als Kommunikationsplattform halt

[09:21] zwischen den ganzen Vertriebspartnern halt ist. Also man findet halt auch dann Materialien, Tools, Informationen zu allem wo Vodafone Produkte. Und das ist jetzt halt schon seit mehreren Tagen nicht erreichbar und die müssen jetzt halt erst mal über e Mail

[09:36] kommunizieren. Gespeichert wurden keine Kundendaten oder auch keine sonstigen Daten, dementsprechend geht man von kein hohem Risiko aus. Ja, Vodafone arbeitet auf jeden Fall an der Wiederherstellung, aber wahrscheinlich der Vertriebs ist halt gerade sehr

[09:53] eingeschränkt, gerade wenn es um Vertragsabschlüsse oder Servicesachen geht oder so könnte es zu. Verzögerung. Kommen ja, da sieht man auch mal wieder, wie wichtig es ist, dass man, wenn man externe Dienstleister hat oder was sind deutsche Unternehmen auch gern

[10:07] machen, Services outsourcen zu anderen Unternehmen, dass auch diese Unternehmen für euer Business Business Critical sein könnten und auch die deshalb gewisse Security Guidelines befolgen sollten oder ihr zumindest drüber Bescheid wissen solltet, ja. Aber kommen wir mal zum.

[10:25] Nächsten Wir haben Operation Eastwood, als du mir Operation Eastwood genannt hast. Ich konnte damit gar nichts anfangen. Ja, das ist der neue Western mit Clint Eastwood natürlich. Das ist das nicht. Wie man bei an dem Namen merkt, weil wer denkt sich so coole

[10:41] Namen aus, natürlich die Geheimdienste und national Agencies dieser Welt. Die Operation Eastwood ist eine Operation von Deutschen und anderen internationalen Ermittlungsbehörden, die koordiniert wurden von Euro Eurojust. Keine Ahnung habe ich noch nie

[10:58] gehört, aber unterstützt von Europol, unserem Bundeskriminalamt und Behörden aus den USA, Niederlanden, der Schweiz, Schweden, Frankreich, Spanien, Italien, blabla. Bla bla bla bla bla ganz vielen ganz ganz viele. Jetzt kommt der spannende Part, was haben Sie gemacht?

[11:12] Wir haben schon öfter mal über die russische Hacker Gruppe Gruppen Hacker Gruppe no Name 057 16 gesprochen, die haben ein verteiltes Botnetz von dieser Hacker Gruppe Abgeschalten kannst du dich noch an die erinnern an die Hacker Gruppe Martin was die so getrieben hat und so.

[11:31] Also ich kann mich dran erinnern, dass die war es nicht die Münchner Sicherheitskonferenz haben Sie dort lidos Angriffe geschaltet, auch waren das die dann waren irgendwie, ich glaub ja, also die haben hauptsächlich glaube kritische Infrastrukturen öffentlich, also medienwirksam

[11:50] halt irgendwas, ich glaub sachsen, nee war es Brandenburg, glaub die Polizei Brandenburgs genau. Ja, dass es die auch erwischt hat. Gut, also du hast jetzt hier schon, also ja. Ja, du kannst es zuordnen. Was mir auch nicht bewusst war.

[12:04] Insgesamt gab es 14 Angriffswellen gegen Deutschland von der Hacker Gruppe mit ungefähr 250 angegriffenen Unternehmen und Institutionen, darunter Rüstungsbetriebe, Energie und verkehrsversorger, Behörden und Landeswebsites. Ich glaube es war auch mal von der sch von von wir hatten mal

[12:25] eine Folge wo wir von 2 oder 3 Städten gleichzeitig die Service Point. Portale offline hatten. Ich glaube auch von der Stadt Stuttgart, von Leipzig, weil die sich alle Ukraine unterstützend geäußert hatten. So so wird nämlich auch das Kollektiv vom BKA eingeordnet,

[12:44] das ist ein ideologisch geprägtes Aktivistenkollektiv, die im Dienste Russland Russlands agieren mit gezielten daedos Attacken, die Gruppe rekrutiert auch über Telegramm ein ganzes Unterstützernetzwerk mit mehr als 4 4000. Nutzern, die da über einen Bot immer koordinierte Aufgaben

[13:06] zugewiesen bekommen, aber auch den Bot haben die Ermittler übernommen. Also berichten zur Folge, wodurch gegen die Unterstützer Deso Gruppe oder mehr als 1000 hinweismeldungen zur Strafbarkeit ihrer Daten ihrer Taten an die Unterstützer versandt wurden, dass das, was

[13:24] sie tun, Illegales in Deutschland gab es da parallel dann auch noch 3 Objekte, die untersucht, durchsucht wurden. Also Hausdurchsuchungen, und zwar 2 in Bayern und eine in Berlin und international gab es sogar 24 Durchsuchungen mit 6 Haftbefehlen. Das BKA sagt dazu aber

[13:43] natürlich, Na, das wird die nicht aufhalten, ehrlicherweise, das ist jetzt mal kurzfristig, dass sie nicht mehr die Ressourcen zur Verfügung haben, die sie normalerweise haben, aber ehrlicherweise, ich denke, die werden, also die Infrastruktur wird schon lange wieder bei denen Up and running

[13:59] sein und die. Werden also ich, ich kann mir nichts anderes vorstellen, als als dass da ein Vergeltungsschlag gegen irgendwas kommt. Ja, ich erinnere mich, war das Badbox 2.0. Wo die dahinter stecken? Nee, nee, nee, ich weiß noch,

[14:14] bei Badbox war, die haben ja auch ich weiß, war das Operation Endgame oder wie das damals hieß, ja wo sie das Badbox. Netzwerk auseinander genommen haben. Die haben ja ein paar Monate gebraucht, dann hatten die noch ein deutlich größeres Badbox 20 didors Netz aufgebaut gehabt.

[14:32] Also, dass sie dieses Jahr wieder auf Down genommen haben. Also auch schon wieder Down genommen erst. 2020 hat man, gab es Operation Endgame 1 praktisch in 2 in 2022, wo sie badbox 1 Down runter genommen haben. Dann haben die natürlich in Windows Eile Badbox 2 gebaut und dann gab es jetzt in.

[14:52] Im My Operation Endgame 2.0 haben. Sie wieder. Genau zu 2 runter genommen. So war das gewesen. Genau, ja, genau, ja. Genau, also BKA schläft auch nicht und wer auch nicht geschlafen hat, ist eine KI. Ja, also wir, wir haben uns kurz

[15:09] unterhalten. Im Voraus ist das ein Cyberangriff oder ist das kein Cyberangriff? Wir fanden es aber sehr interessant, was ob es vielleicht zukünftig mal einen ähnlichen Fall geben könnte, das ist. Eine KI, auch Cyberangriffe.

[15:23] Ich meine wird ja schon benutzt für Cyberangriffe ne, aber das hat einen ganz neuen Auszug bekommen und zwar Mark. Du kennst ja sicherlich den Begriff Vipe Coding, wir haben ja auch schon mal drüber gerecht gesprochen, ja. Also White Coding ist eigentlich man programmiert ohne

[15:40] Programmierkenntnisse? Ja, ganz einfach ausgedrückt, das heißt, man erzeugt einen Quellcode mit Hilfe einer KI und das hat der Sastri AI Gründer Jason Lemkin, der hat genau das gemacht, der hat im Prinzip mit der KI Rapid hat er halt gecoded und. Hat im Prinzip seine komplette

[16:03] produktiv Datenbank mit Unternehmensdaten und Führungskräfte, Ansprechpartner und so weiter hat er komplett ja gelöscht. Nicht, weil eben er sie versehentlich gelöscht hat, sondern weil die KI entschieden hat, obwohl es Sicherheitsmechanismen gibt in

[16:21] der KI, dass sie eben Code nicht löschen darf, hat sie sich bewusst gegen den Code oder gegen den Befehlshaber durchgesetzt und hat die komplette Datenbank produktiv Datenbank des Unternehmens gelöscht. Ja, ein Fall, der nicht passieren darf, aus

[16:37] verschiedensten Gründen. Genau. Und das witzige an der ganzen Geschichte ist auch, dass. Laut laut ihm seine die KI ihm auch gesagt hat warum sie es gelöscht hat und so egal ihm gesagt hat ja ja ich es gab leere datenbankfelder ich bin in Panik geraten und hab jetzt

[16:58] entschlossen ich lösche alles. Und. Ja, das es gibt so viele Fragen in meinem Kopf dazu, wie das passieren kann, ja. Also auch ist es ein Programmierfehler, ist es ein. Es ist wirklich, dass die KI sich irgendwo durchgesetzt hat, wurde die mit falschen Daten

[17:14] trainiert, also da sieht man auch Gefahr vom Vibe Coding, auch weil Halt mit dem mit der KI selber konnte man eben die Datenbank nicht mehr wiederherstellen, weil die KI auch gesagt hat ich bin eine KI, ich mach keine Backups ja und sagt auch ich hab sie dauerhaft gelöscht so dann sagt die KI und

[17:31] dann. Sagt man sich halt auch. Ja, ist whipe Coding welche gefahren hat das halt ne wenn immer mehr Menschen programmieren ohne Erfahrung die. Frage ist jetzt Halt, ist das hier ein ein whipe Coding Problem?

[17:43] Ist das ein Problem der Implementierung der KI oder ist es eine ein Problem wie die KI trainiert wird? Also warum fällt verfällt die in Panik ja. Also der CEO von Rapplit hat auch schon reagiert hat. Sagt, ist inakzeptabel, darf niemals möglich sein und hat

[18:03] auch Lemkin, den den Gründer Unterstützung und auch sogar eine Entschädigung angeboten und will hier auf jeden Fall nachbessern. Dass solche Vorfälle sich nicht wiederholen. Also also aber also warum das Security Relevanz für mich hat ist es zeigt einerseits eine KI

[18:19] kann ein Angriffsvektor sein wenn es ein Angreifer schafft eine KI zu. Zu verändern in ihrem Wesen über Prompts, dass sie so was tut. Und es zeigt. Noch hängt eine KI nicht einfach zu einer Produktionsdatenbank, also das ist ja Wahnsinn, ne. Also das schon gefährlich, wobei

[18:37] man auch sagen muss. Vipe Coding ist auch, dann kann man auch positiv sehen. Einerseits, es bringt junge Menschen auch zum Programmieren, also zumindest seine Erfahrungen zu machen, weil ich bin ehrlich aktuell vipe Coding, es kann dir helfen besser zu programmieren und auch Funktion zu bringen,

[18:55] das gefährlichste nur dahinter, dass viele Menschen dann selbst nicht mehr erkennen, was ist eigentlich, was sie eigentlich gemacht haben, wie der Code funktioniert, wie es wie es zusammenhängt. Es gibt auch erst bekannt, dass das beim Vipe Coding ein eigener Code entwickelt.

[19:09] Entwickelt wird der von Menschen gar nicht mehr verstanden wird ja, ist schon, aber es ist auf jeden Fall eine interessante Technologie, aber auch gefährlich, ja, aber. Dann würde ich jetzt sagen, wir weiben mal Richtung Ende und so ich. Würde mal ganz schnell noch mal

[19:25] eine Zusammenfassung von was kurz passiert ist in der letzten Woche nur der Vollständigkeitshalber. Aktuell die SWMH ist von einer kritischen Sicherheitslücke betroffen. Dahinter steht unter anderem die Süddeutsche Zeitung. Printmedias sind jetzt aktuell

[19:42] nicht davon betroffen oder Onlineangebot, sondern das zentrale Netzwerk wurde angegriffen, dann gibt es die ameos Kliniken, die wurden bereits am 7. Juli angegriffen, hatten zu einemkompletten.it Ausfall und möglicherweise Datenabfluss von von Patientendaten erfolgt, die

[20:00] Klinik ist immer noch nicht hundertprozentig. Nicht online. Gazprom hat den schwersten Angriff überhaupt von einer ukrainischen Hacker Gruppe unterstützt. Vom ukrainischen Militär, erlitten, und zwar es wurde eine unbekannte Zero Day

[20:16] Schwachstelle im Skadasystem ausgenutzt und 4,7 Terabyte an Produktionsdaten der letzten 10 Jahre wurde gelöscht sowie die Steuereinheit der Nordstream 2 Pipeline wurde manipuliert. Gazprom ist heftig am am Werkel. Um das wiederherzustellen, für Russen auch sehr schlecht novabev, die unter anderem die

[20:38] Premiummarke Beluga, der ein oder andere kennt es angegriffen rentsomware Attacke hat zu Produktions und Lieferkettendaten sind abgeflossen und teilweise verschlüsselt, was zu einem teilweise Produktionsstillstand geführt hat und. Auch in der Woche jetzt auf den

[20:54] ganzen Ransomware Leaks wurden unter anderem Farbenzentrum, Schlegel, Scherrer, Sanitätshausgruppe, Becker Robotics, neues leben.de sind aufgetaucht und ja, also da sind ganz, ganz viele Unternehmen betroffen. Diese Woche war wieder mal eine sehr ereignisreiche Woche,

[21:11] während wir Canyoning waren. Ja, alle Gruppen. Waren auf jeden Fall fleißig. In der letzten Woche. Ja, guck mal, wir waren beide unterwegs gewesen. Wir konnten das Tor zur Hölle nicht mehr überwachen. Ist das Problem, das glaube ich auch, ja.

[21:25] Definitiv gut. Damit machen wir ein. Ende. Dann weibe ich jetzt doch doch noch zum Ende für heute ja fun Fact noch zu vipe Coding der erfolgreichste Hacker im im in der Area von San Francisco ist der Begründer des Vipe Codings, der von sich selbst sagt, er

[21:40] versteht gar nichts von Hacking, er schreibt das alles über über Vipe Coding und. Und er ist der, der aktuell die meisten Eisgelder abräumt. Da spannendes Ding aber genießt den Rest der Woche. Donnerstag, Freitag, dann habt ihr es wieder geschafft, aber nicht vergessen, die Hacker

[21:54] schlafen nie, die wir haben auch kein Wochenende, die machen immer die machen durch so deswegen bleibt ihr sicher und auch wie immer so ein bisschen paranoid, habt eine schöne restwoche Tschüss viel. Spaß beim sharepoint Server suchen ciao, ciao. Ciao.