Monthly Threat Report August 2024: Ein Monat voller globaler Cyberattacken

Sowohl Broadcom als auch CISA und Microsoft warnen eindringlich vor einer neu entdeckten Schwachstelle in ESXi-Systemen. Die Sicherheitslücke CVE-2024-37085 ermöglicht es Angreifern, durch eine geschickte Manipulation von Active Directory-Gruppen unbefugt auf zuvor verwaltete ESXi-Hosts zuzugreifen. Selbst wenn Angreifer bereits einen gewissen Grad an Zugriff auf Active Directory erlangt haben, stellt diese Schwachstelle aufgrund der potenziellen Auswirkungen auf die gesamte Hypervisor-Umgebung ein erhebliches Risiko dar.

Microsoft hat festgestellt, dass die Hackergruppe Storm-0506 diese Schwachstelle bereits aktiv ausnutzt. In ihren Untersuchungen heißt es:

Microsoft stellte fest, dass die Angreifer zunächst die Gruppe ‚ESX Admins‘ in der Domäne anlegten und ihr ein neues Benutzerkonto hinzufügten. In der Folge führte dieser Angriff zur Verschlüsselung des ESXi-Dateisystems und damit zum Ausfall der auf diesem Hypervisor gehosteten virtuellen Maschinen.

Virtualisierungsplattformen stellen für Angreifer ein besonders attraktives Ziel dar, um Ransomware in einem Netzwerk zu verbreiten. Die Verschlüsselung des gesamten Speicherplatzes eines Hosts führt zu wesentlich gravierenderen Auswirkungen für Unternehmen als die Infektion eines einzelnen Systems. Da häufig mehrere virtuelle Maschinen betroffen sind, erhöht sich der Druck auf die betroffene Organisation erheblich.

Es wird dringend empfohlen, das zur Verfügung gestellte Sicherheitsupdate zu installieren, sofern Sie dies noch nicht getan haben.

Bei Hornetsecurity verfolgen und analysieren wir regelmäßig die Aktivitäten von Cyberkriminellen. Eine Gruppe, die wir in letzter Zeit genauer unter die Lupe genommen haben, ist Anonymous Sudan. In unserem neuen Format werden wir monatlich über die Aktivitäten oder die verwendeten Taktiken, Techniken und Verfahren (TTPs) solcher Gruppen informieren.

Anonymous Sudan ist ein im Januar 2023 gegründetes Kollektiv von Cyberaktivisten, das durch gezielte Angriffe auf verschiedene Institutionen und Unternehmen bekannt wurde. Diese Angriffe richteten sich primär gegen Akteure, die als islamfeindlich oder russlandfreundlich wahrgenommen wurden. Die Gruppe bezieht sich zwar auf das bekannte Hackerkollektiv Anonymous, eine offizielle Verbindung konnte jedoch nicht bestätigt werden. Zu den bekanntesten Aktionen zählt der Angriff auf die Microsoft-Infrastruktur im Juni 2023, der Azure, OneDrive und Outlook.com beeinträchtigte.

Darüber hinaus hat die Gruppe sich auch für weitere groß angelegte Ausfälle verantwortlich erklärt, darunter den ChatGPT-Ausfall im November 2023.

Cyberangriffe auf die Olympischen Spiele sind bedauerlicherweise zur gängigen Praxis geworden. In den vergangenen Jahren haben wir miterlebt, wie diese globalen Sportereignisse von staatlichen Akteuren und Cyberkriminellen ins Visier genommen wurden. Selbst verdeckte Operationen, bei denen Nationen andere für ihre Angriffe verantwortlich machen wollten, sind keine Seltenheit mehr. Auch in diesem Jahr zeichnet sich ein ähnliches Bild ab.

Da wir uns hier nicht mit geopolitischen Machtspielen auseinandersetzen möchten, konzentrieren wir uns auf die technischen Aspekte der Cyberkriminalität. Die Angriffe auf die Olympischen Spiele weisen auffällige Parallelen zu den Zielen von Gruppen wie Anonymous Sudan auf, die wir bereits diskutiert haben. Sowohl Staaten als auch nichtstaatliche Akteure nutzen solche Angriffe, um Botschaften zu senden oder ihre Macht zu demonstrieren. Andy Syrewicze und Romain Basset gehen in einer aktuellen Folge unseres Podcasts ‚The Security Swarm‘ näher auf dieses Thema ein (siehe unten):“

• Wir gehen davon aus, dass die Diskussionen um Cybersicherheitsregulierungen sowie unbegründete allgemeine Bedenken zur Stabilität von Sicherheitsanwendungen aufgrund des CrowdStrike-Vorfalls anhalten werden.
• Angesichts der Schwere der jüngsten ESXi-Schwachstelle ist es möglich, dass weitere betroffene Organisationen bekannt werden.
• Die Olympischen Spiele werden vor unserem nächsten Report abgeschlossen sein und nach ihrem Ende könnten wir erfahren, wie die Spiele tatsächlich angegriffen wurden und ob es Auswirkungen auf den laufenden Betrieb gab.