Analyse und Incident Response CVE-2019-19781 (#citrixmash #shitrix)

Sowas passiert nur alle paar Jahre mal – eine Sicherheitslücke von solch drastischer Kritikalität. Das BSI hat denn auch die potenziellen Auswirkungen zunächst erheblich unterschätzt und den Fall als weit weniger kritisch bewertet als das US-amerikanische NIST. Inzwischen ist aber klar, dass der Fall es nicht umsonst bis in die Tagesschau geschafft hat.

Was wir wissen

  • Lücke ist seit Mitte Dezember bekannt, Citrix hat offiziell darüber informiert und Workarounds zum Schutz bereitgestellt
  • Für einen bestimmten Build (50.28) von Citrix ADC/Gateway (the artist formerly known as NetScaler) wirken die Workarounds aufgrund eines weiteren Bugs nicht – zusätzliche Maßnahmen oder ein Update auf einen halbwegs aktuellen Build von 12.1 sind erforderlich (siehe Citrix Artikel)
  • Citrix hat Updates zur Fehlerbehebung angekündigt, für die Versionen 11.1 und 12.0 sind diese Stand heute verfügbar, für weitere unterstützte Versionen sollen die Updates spätestens nächste Woche folgen
  • Seit der zweiten Januar-Woche wird die Lücke aktiv ausgenutzt, spätestens ab dieser Zeit konnten intensive Scans durch die ganze Welt beobachtet werden, die verwundbare Systeme identifiziert und vermutlich für spätere Angriffe dokumentiert haben
  • Nachdem die ersten weniger freundlichen Hacker ihren Exploit Code veröffentlicht haben, wurden weitere Skripte von gewissenhaften Security Experten veröffentlicht, da die Katze nun aus dem Sack war, die eigentlich noch zurückgehalten werden sollte
  • Auf einem verwundbaren System sind Spuren der Kompromittierung zu finden, so lange sich der Angreifer nicht sehr gründlich Mühe gibt, diese zu verwischen – und den nötigen Zugriff dafür erlangt hat
  • Falls keine Spuren zu finden sind, ist dies keine 100%-ige Garantie, dass nichts passiert ist
  • Bei den ersten Spuren sind insbesondere Zertifikate (Private Keys) auf den betroffenen Systemen als kompromittiert zu betrachten und sollten zurückgerufen und ausgetauscht werden
  • lokale Benutzer auf betroffenen Systemen sind insofern gefährdet als dass der Angreifer potenziell Hashes der Passwörter in seinen Besitz bringen konnte, die er nun versuchen kann in Ruhe per brute force zu enttarnen – Passwortwechsel sollten umgehend umgesetzt werden
  • Weiterhin sind auf dem betroffenen System konfigurierte Service Accounts für die interne Infrastruktur gefährdet und müssen als kompromittiert angesehen werden
  • Eine Neu-Installation betroffener Systeme sollte sowieso vorgenommen werden
  • Insbesondere falls keine Firewall vor dem betroffenen System ausgehende Verbindungen verhindert, kann der Angreifer sogar eine Remote Shell auf dem System erlangt haben. Von diesem Fuß in der Tür kann er alle darüber hinaus netzwerktechnisch erreichbaren Systeme ins Visier genommen haben – zusammen mit erlangten Informationen zu Service Accounts ein Silbertablett für weiteres Eindringen

Was wir tun

Nach der frühzeitigen Information und Unterstützung unserer Kunden im Dezember arbeiten wir seit einer Woche nunmehr in Eskalationen und Analysen bei zahlreichen Fällen mit. Dabei geht es immer um eine Kadenz von Maßnahmen:

  • Schutzstatus feststellen
  • Schutz ggf. herstellen
  • Kompromittierungsstatus feststellen
  • Isolation und Recovery ggf. einleiten
  • Mögliche Tiefe der Kompromittierung feststellen (was kann der Angreifer unmittelbar erlangt haben)
  • Mögliche Kompromittierungen weiterer Systeme analysieren (was kann der Angreifer ggf. über das direkt verwundbare System hinaus erreicht haben)

Das Ergebnis kann leider fast nie eine sichere Aussage der Art „es ist nichts passiert“ sein. Dieser kann man sich nur anhand von Indizien annähern. Lediglich bei unmittelbar nach Bekanntwerden konsequent und korrekt implementierten Schutzmaßnahmen gehen wir von einer faktischen Unversehrtheit aus. In allen anderen Fällen muss eine Risikobewertung stattfinden, um die Tiefe und Ausführlichkeit zu bestimmen, in der analysiert und bereinigt werden muss.

Aufgrund der Menge an Fällen sind unsere Vorlaufzeiten zur umfassenden Bearbeitung neuer Anfragen aktuell im Bereich von Tagen. Die ersten Schritte in o.g. Kadenz können aber jederzeit im Bereich Same, maximal Next Business Day gegangen werden. Kommen Sie gerne auf uns zu.

Phished!

Als Berater und technisch äußerst erfahrener Consultant, der SMTP fließend spricht, seine Mails per Konsole bei Mailservern abliefern kann (zumindest solange diese kein TLS erzwingen) und der vor vielen Jahren seine Diplomarbeit über E-Mail-Sicherheit (Verschlüsselung und Signatur) geschrieben hat, halte ich mich für ziemlich solide vorbereitet auf Phishing-Attacken per Mail. Dazu kommt, dass ich so ziemlich alle Wellen der letzten Jahre nie in meinen eigenen Postfächern zu sehen bekommen habe.

Seit einiger Zeit bin ich intensiver Nutzer von und Evangelist für Microsoft Teams. Die moderne Art der Zusammenarbeit ist ein Segen und reduziert unter anderem die Notwendigkeit von E-Mails. So war ich durchaus interessiert daran, die Entwicklung dieser Lösung ein Wenig mit zu beeinflussen, als die Einladung eines von Microsoft beauftragten Marktforschungsunternehmens mich erreichte, an einer Umfrage zu Teams teilzunehmen. Allerdings habe ich chronisch wenig Zeit, war konkret eher gehetzt, aber zuversichtlich, dass ich die Umfrage in weniger als den avisierten 10 Minuten durchklicken könnte, um den Task damit aus meiner Liste zu schaffen.

Zum Glück ist Microsoft Edge mit aktiviertem SmartScreen mein Default Browser: nach dem Klick auf den Umfragelink leuchtete mir eine knallrote Seite entgegen, die mir mitteilte, dass die aufgerufene Adresse als unsicher gemeldet worden sei.

Welche Fehler hatte ich gemacht?

Nun, die Mail war nicht sehr auffällig; perfekter deutscher Text, bekannte Logos, eine akzeptable sichtbare Absenderadresse, kein Anhang. Im leider weit verbreiteten Stress-Modus gehen dann solche Überlegungen unter wie „Moment mal, Microsoft interagiert intensiv über uservoice.com mit den Nutzern, um Teams anhand des Anwender-Feedbacks zu verbessern, wozu brauchen Sie da noch so eine Aktion?“ – und wer kennt schon alle Executive Vice Presidents von Microsoft?

Auch bei einer näheren Betrachtung, die definitiv nicht zum Repertoire „normaler“ Anwender gehört und auch den zeitlichen Rahmen sprengt, den ich so einem Vorgang normalerweise angedeihen lassen könnte, zeigt sich, wie gut die Phishing-Mail gestaltet ist: sie trägt sogar eine valide, wenn auch „relaxed“ DKIM-Signatur, das benannte Marktforschungsunternehmen existiert wie auch die übereinstimmende Absender- und Link-Domain. Auffälligkeiten finden sich erst in den tieferen Schichten:

  • Es gibt keinen SMTP-Received-Path vor der Einlieferung bei unserem Eingangsserver (MX), die direkt von einer IP aus dem Amazon (AWS) Kosmos kam.
  • outlook-mailer.com ist undurchsichtig registriert (WhoisGuard Protected), was ein Marktforschungsunternehmen eher nicht tut.

Nochmal zum Glück war die ganze Aktion keine echte Attacke, sondern eine interne Demonstration der Wirksamkeit von Sophos Phish Threat. In den zugehörigen Anwendertrainings werden entsprechende Sensibilisierungen und Hinweise vermittelt, um auf Bedrohungen dieser Art noch besser reagieren zu können. Die simulierten Angriffe sind vielfältig und basieren auf echten Bedrohungen, die Analysten weltweit beobachten.

Ich musste mir also eingestehen, dass selbst ich nicht vor dieser Art von gezielten Attacken gewappnet bin. Wer könnte das also glaubhaft von sich behaupten?

Digitaler Nachlass – vorsorgen und verwalten

Es ist ein Thema, mit dem sich niemand gerne befasst. Allerdings ist die Regelung des digitalen Nachlasses heute mindestens so wichtig wie die klassische Nachlassregelung für „Haus und Hof“.

Neben der akuten Trauer stehen die Angehörigen nach dem Tod eines geliebten Menschen vor einem Berg von Arbeit und wahrscheinlich einem Meer von Accounts, Profilen, Konten, Verträgen und so weiter. Je besser die Bewältigung dieses Chaos vorbereitet ist, desto schneller und besser können sich die Angehörigen mit der eigentlichen Trauerarbeit befassen.

Ohne viel weitere Einführung möchte ich daher hier einige Tipps, Anregungen und Fingerzeige geben. Sowohl für jeden selbst zur Vorbereitung als auch für die Angehörigen, die den digitalen Nachlass verwalten sollen.
„Digitaler Nachlass – vorsorgen und verwalten“ weiterlesen

Die DSGVO und der „Stand der Technik“

Wie können wir sicher sein, dass wir die durch die europäische Datenschutzgrundverordnung geforderten technischen und organisatorischen Maßnahmen korrekt ergriffen haben? Einerseits ist es Aufgabe des bestellten Datenschutzbeauftragten (DSB), dies zu überprüfen, andererseits gibt es ein paar Eckpfeiler, die sichergestellt sein müssen:

  • Hat eine Feststellung des Schutzbedarfes der zu verarbeitenden Daten stattgefunden?
  • Sind am Schutzbedarf orientierte technische und organisatorische Maßnahmen (TOM) definiert, umgesetzt und dokumentiert worden?
  • Entsprechen die technischen und organisatorischen Maßnahmen dem Stand der Technik?

Moment – Stand der Technik? Was ist denn unter dem Stand der Technik zu verstehen? Da diese Bezeichnung von zentraler Bedeutung für die qualitative Bewertung der TOM ist, sollte sie genauer untersucht werden. Zum Glück gibt es eine regelmäßig aktualisierte Handreichung zu genau diesem Begriff im Rahmen des alten IT-Sicherheitsgesetzes und der DSGVO vom Bundesverband IT-Sicherheit (TeleTrusT). „Die DSGVO und der „Stand der Technik““ weiterlesen

Nach Sicherheitsvorfall: Citrix stellt neue NetScaler Builds bereit

Es war ein beispielloses Szenario: Für mehrere Tage waren keinerlei Firmware-Versionen von Citrix NetScaler zum Download verfügbar, zurückgezogen aufgrund eines nicht näher spezifizierten „Issues“, der gefunden worden sei.

Die Verweise auf Best Practises und Secure Deployment Guides legten bereits nahe, dass ein Sicherheitsrisiko im Bereich des Management Access vorliegen dürfte. Dieser ist immer auf der NetScaler IP (NSIP) als der primärer Management-IP zugänglich und kann auf jeder Subnet IP (SNIP) ebenfalls aktiviert werden. Welcher Dienst genau betroffen sei (in Frage kamen SSH oder der Webserver für die GUI), war nicht erkennbar. In den allermeisten Deployments  jedoch dürfte der verwundbare Dienst ohnehin nur im Management-Netz erreichbar gewesen sein, gemäß Best Practises sogar nur für explizit berechtigte Admin-Arbeitsplätze. Insofern erschien die Maßnahme überraschend heftig, zu der Citrix mit dem Zurückziehen sämtlicher Builds griff.

Jetzt hat Citrix neue Builds der supporteten Versionen 10.1, 10.5, 10.5e, 11.0, 11.1 und 12.0 bereitgestellt. Im zugehörigen Security Bulletin ist nun auch ausgeführt, worum es sich handelt: Die Authentifizierung am Management Interface kann unter bestimmten Umständen umgangen werden, so dass Unbefugte administrativen Zugriff erlangen können.

Zeitnahe Updates sind dringend angeraten. Derweil die schon empfohlenen Best Practises zum sicheren Deployment. In allen Punkten unterstützen wir zahlreiche Unternehmen aktiv – kommen Sie gerne auf uns zu, wenn Sie Fragen haben.