Deutsch | English
Dieser Blog enthält keine offiziellen Aussagen von CERT.at, sondern persönliche Meinungen einzelner Mitarbeiter.
Patschn am Patscherkofel
20. April 2018

Nachdem einige Medien über einen Vorfall berichten, bei dem auch wir involviert waren, will ich hier ein paar Fakten klarstellen:

  • Wir bekommen immer wieder von Researchern - und da ist die "Internetwache" nur einer unter vielen - Hinweise zu konkreten Sicherheitsproblemen im österreichischen Internet. Unsere Rolle hier ist, diese Meldungen (auf Wunsch anonymisiert) an die Betroffenen weiterzuleiten und dort für die entsprechende Aufmerksamkeit zu sorgen.
  • Das haben wir auch in diesem Fall gemacht: bei uns ging die Meldung an einem Freitag Nachmittag ein, wir haben das dann am späteren Abend an unseren Kontakt in Innsbruck weitergegeben. Von dort kam Montag vormittags die Antwort, dass man sich um das Thema kümmert. Dabei wurde sowohl eine gute Erstreaktion kommuniziert als auch eine saubere Lösung angekündigt, was wir auch an den Melder weitergegeben haben. Nachdem wir uns bei allen Beteiligten bedankt haben, war der Fall für uns abgeschlossen.
  • Wir geben - entgegen manchen Medienberichten - keine Anweisungen oder Auflagen an Betroffene. Dazu haben wir kein Mandat. Wir können nur auf Probleme hinweisen. In Fällen wie diesen, bei denen das Problem klar erkennbar ist, ist das üblicherweise völlig ausreichend.
  • Weiters sehen wir es als essentiell für unsern Rolle an, dass wir diskret arbeiten. Von uns wird es zu solchen Fällen keine Tweets oder Pressemeldungen geben. Ich kann verstehen, dass das nicht alle gleich handhaben, so etwa machen die großen AV-Firmen auch genug Tamtam zu ihren Erfolgen. Wenn das wirklich sein muss, sind wir doch froh, wenn unsere Rolle bei diesen Fällen korrekt wiedergegeben wird.

Autor: Otmar Lendl

Office Macros
13. April 2018

Eine kleine Bemerkung aus aktuellem Anlass:

Ich hab gestern mal wieder meinen üblichen Vortrag zum Thema "Bedrohungslage" gehalten, und dabei auch - wie immer - erwähnt, dass Office-Macros gefährlich sind und eingeschränkt werden müssen. Im Publikum war klar zu erkennen, dass einige das bei sich nicht machen können. Verständlich, weil in so manchen Firmen wichtige Geschäftsprozesse als Excel-Macros implementiert sind.

Daher will ich eines klarstellen:

Wer in eingehenden Mail-Attachments Macros in Office-Dokumenten erlaubt und per Group Policy nicht einschränkt, ob diese ausgeführt werden dürfen, der hat de-facto den Empfang und das Ausführen von .exe Files erlaubt. Oder anders formuliert: Office-Dokumente mit Macros müssen wie ganz normale Programme behandelt werden. Es gibt hier kein "sandboxing" oder sonst irgendwelche Schutzmechanismen. Wenn ich die Ausführung von Macros erlaube, dann gebe ich dem Schreiber der Macros die vollen Rechte des angemeldeten Benutzers.

Autor: Otmar Lendl

Updated 2018-04-04 - Microsoft Malware Protection Engine: Sicherheitsupdate behebt kritische Schwachstelle
4. April 2018

Am 03.04.2018 hat Microsoft ein Update zur Behebung des kritischen Fehlers CVE-2018-0986 in der hauseigenen Antiviren-Software (Microsoft Malware Protection Engine), benutzt in zum Beispiel Windows Defender, Microsoft Security Essentials, Microsoft Intune Endpoint, Microsoft Forefront Endpoint 2010 sowie in Exchange Server 2013 und 2016 unter den Systemen Windows 7 bis Windows 10 beziehungsweise Windows Server 2008 R2 bis Windows Server 2016 veröffentlicht.

Das Ausnützen der Schwachstelle durch eine speziell präparierte Datei, die beim Scanvorgang durch die Antiviren-Software den Speicher korrumpiert, ermöglicht es einem Angreifer beliebigen Code im lokalen Kontext als "LocalSystem" auszuführen und die vollständige Kontrolle über das betroffene System zu erlangen.

Die schadhafte Datei kann hierbei zum Beispiel auf Internetseiten hochgeladen sein oder auch per Mail verschickt werden. Wenn die Datei bereits beim Betrachten der Internetseite beziehungsweise beim Erhalt der Mail gescannt wird, löst dies die Schwachstelle umgehend aus. Selbiges gilt für Datei- und Web-Server, die das Hochladen von Benutzerinhalten erlauben, wenn die bereitsgestellten Dateien durch die Antiviren-Software serverseitig gescannt werden. Somit ist erhöhte Vorsicht geboten.

Aber eben nur erhöhte Vorsicht ... kein Grund zur Panik.

Die automatische Update Funktion der Antiviren-Software ist durch Microsoft standardmäßig aktiviert. Das Update sollte damit bereits auf Systemen mit Internetzugang und nicht deaktiviertem automatischem Update installiert sein. Weiters ist die Methode zur Ausnutzung der Schwachstelle noch nicht öffentlich verfügbar und es wurde auch noch keine Ausnutzung bis dato festgestellt.

Update 4. April 2018

Mittlerweile haben die die Sicherheitsforscher von "Project Zero" (Google) Details zu der Schwachstelle veröffentlicht. Mit entsprechenden Angriffen ist also zu rechnen.

Zur Sicherheit sollte überprüft werden ob die Antiviren-Software in Version 1.1.14700.5 vorliegt und die automatische Update Funktion nicht deaktiviert ist.

 

Links:

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-0986

Autor: Erik Huemer

DDoS-Reflection mit Memcached
28. Februar 2018

Auf diesen Seiten war schon viel über DDoS zu lesen, insbesondere der Variante, bei der schlecht betriebene Services im Netz sich als Reflektoren/Verstärker missbrauchen lassen. Übliche Vektoren in den letzten Jahren waren DNS, NTP, SSDP, SNMP und auch LDAP. Jetzt ist hier was neues am Radar aufgetaucht: Memcached.

Auch hier gilt vorab: es gibt so gut wie keinen Grund, dass Memcached Server überhaupt aus dem offenen Internet aus ansprechbar sind, da sie nur intern zur Performanceoptimierung von komplexen Webseiten eingesetzt werden. Weiters werden sie oft komplett ohne Zugriffsschutz betrieben, was Datendiebstahl oder Manipulation einfach macht. Aus diesem Grund warnen wir schon länger alle Betreiber, die eine Memcached Instanz offen im Netz laufen haben.

Aber neben TCP kann Memcached auch UDP, und hier fängt der Spass an. Damit gibt es keine Validierung der IP-Adresse des Clients und bei einer maximalen Antwortgröße von 1 MB sind diese Server perfekte DDoS-Verstärker.

Gestern kam die Meldung, dass erste heftig DDoS-Angriffe per Memcached-Reflection beobachtet wurden.

Links dazu:

Empfehlungen:

  • Wer so ein Teil einsetzt: Bitte per Firewall vom Internet trennen.
  • Netzbetreiber/ISPs sollten Pakete mit UDP Source Port 11211 als potentiellen DDoS einstufen und entsprechend in diverse Filter bzw. Rate-Limits aufnehmen. Insbesondere Infrastructure ACLs (iACLs) sollten entsprechend angepasst werden. Siehe auch hier, wobei ich Rate-Limits harten Blocks deutlich vorziehe.
  • Firmen sollten bei ihren DDoS-Abwehr überprüfen, ob Port 11211 analog zu anderen missbrauchbaren Protokollen behandelt wird.

Status in Österreich

Es liegt uns noch kein Bericht vor, dass dieser Vektor bei einem DDoS auf hiesige Ziele benutzt wurde.

Wir bekommen schon lange Scan-Ergebnisse von Shadowserver zu offenen Memcached Instanzen in Österreich, die wir auch an die Netzbetreiber weiterverteilen. Das waren in letzter Zeit immer so rund 50 IP Adressen, die per TCP auf Port 11211 antworten. Mit dem heutigen Report wird erstmals auch inkludiert, wer auf UDP Port 11211 lauscht und damit für DDoS Reflection anfällig sein könnte. Das sind aktuell 32 IP-Adressen (aus 20 ASN) in Österreich.

Ausblick

Der Verstärkungsfaktor ist potentiell sehr hoch. Das ist einerseits böse, da damit sehr potente DDoS-Angriffe entstehen können, andererseits haben wir bei ntp monlist gelernt, dass damit auch der Leidensdruck der Reflektoren schnell hoch wird, und das damit das Ganze schnell aufgeräumt werden wird.

Autor: Otmar Lendl

<< Vorige Nächste >>
Email: reports@cert.at
Tel.: +43 1 5056416 78
mehr ...
Kritische Sicherheitslücken in Adobe Acrobat, Adobe Reader und Adobe Photoshop CC - Patches verfügbar
15. Mai 2018 | Beschreibung Adobe ...
Kritische Sicherheitslücke in Oracle Access Manager - Updates verfügbar
3. Mai 2018 | Beschreibung Das ...
mehr ...
NIS Update
15. Mai 2018 | Am 9. ...
#efail #fail
14. Mai 2018 | Aktuell ...
mehr ...
Jahresbericht 2016
Ein Resumee zur digitalen Sicherheitslage in Österreich

(HTML, PDF).
Letzte Änderung: 2018/5/15 - 16:11:08
Haftungsausschluss / Datenschutzerklärung