Datenleck bei Microsoft Exchange Server im Jahr 2021

Im Januar 2021 begann eine weltweite Welle von Cyberangriffen und Datenlecks, nachdem vier Zero-Day-Schwachstellen in lokalen Microsoft Exchange-Servern entdeckt worden waren . Angreifer erhielten dadurch vollen Zugriff auf E-Mails und Passwörter der Nutzer auf den betroffenen Servern, Administratorrechte auf dem Server sowie Zugriff auf verbundene Geräte im selben Netzwerk. Typischerweise installieren Angreifer eine Hintertür , die ihnen vollen Zugriff auf die betroffenen Server ermöglicht, selbst wenn diese später aktualisiert werden und somit nicht mehr anfällig für die ursprünglichen Schwachstellen sind. Schätzungen zufolge fielen bis zum 9. März 2021 rund 250.000 Server den Angriffen zum Opfer, darunter Server von etwa 30.000 Organisationen in den Vereinigten Staaten, 7.000 Server im Vereinigten Königreich ^{[ 8 ]} sowie Server der Europäischen Bankenaufsichtsbehörde , des norwegischen Parlaments und der chilenischen Finanzmarktaufsicht (CMF). ^{[ 9 ] [ 10 ] [ 11 ] [ 12 ] [ 13 ] [ 14 ]}

Am 2. März 2021 veröffentlichte Microsoft Updates für Microsoft Exchange Server 2010, 2013, 2016 und 2019, um die Sicherheitslücke zu schließen. Bereits entstandene Schäden werden dadurch jedoch nicht rückgängig gemacht und von Angreifern installierte Hintertüren nicht entfernt. Kleine und mittlere Unternehmen, lokale Institutionen und Kommunen sind bekanntermaßen die Hauptopfer dieser Angriffe, da sie oft über geringere Budgets für die Abwehr von Cyberbedrohungen verfügen und ihre IT-Dienstleistungen typischerweise an lokale Anbieter auslagern, denen die Expertise im Umgang mit Cyberangriffen fehlt. ^{[ 15 ]}

Am 12. März 2021 gab Microsoft die Entdeckung einer neuen Ransomware- Familie bekannt , die auf infizierten Servern eingesetzt wurde. Dabei wurden alle Dateien verschlüsselt , der Server unbrauchbar gemacht und ein Lösegeld für die Wiederherstellung des Verschlüsselungszustands gefordert. ^{[ 16 ]} Am 22. März 2021 gab Microsoft bekannt, dass die Sicherheitslücke auf 92 % der Exchange-Server entweder geschlossen oder zumindest entschärft wurde. ^{[ 17 ]}

Microsoft Exchange ist eine weit verbreitete E-Mail-Server-Software und ein häufiges Ziel von Cyberangriffen auf Unternehmensnetzwerke. Laut Microsoft ermöglicht die Umgebung Angreifern den Missbrauch integrierter Verwaltungstools oder Skripte für schädliche Zwecke. ^{[ 18 ]} Microsoft Exchange war bereits Ziel von Angriffen staatlicher Akteure . ^{[ 19 ] [ 20 ]}

Am 5. Januar 2021 meldete das Sicherheitstestunternehmen DEVCORE die Schwachstelle an Microsoft, die Microsoft am 8. Januar bestätigte. ^{[ 21 ]} Am 6. Januar 2021 entdeckte das Cybersicherheitsunternehmen Volexity den ersten bekannten Angriff auf eine Microsoft Exchange Server-Instanz. ^{[ 1 ]} Ende Januar entdeckte Volexity einen weiteren Angriff, der Angreifern Zugriff auf Daten zweier Kunden ermöglichte, und meldete die Schwachstelle an Microsoft. Nach der Benachrichtigung durch Microsoft berichtete Volexity, dass die Hacker in Erwartung eines Patches weniger diskret vorgingen . ^{[ 22 ]}

Am 2. März 2021 berichtete das Cybersicherheitsunternehmen ESET , dass neben Hafnium mehrere weitere Angreifer die Schwachstellen ausnutzten. ^{[ 4 ]} Am 10. März 2021 berichtete Wired , dass nach der Veröffentlichung des Patches weitere Angreifer die Korrektur wahrscheinlich per Reverse Engineering analysieren würden , um ungepatchte Server anzugreifen. Analysten zweier Sicherheitsfirmen berichteten von Anzeichen dafür, dass Angreifer die Installation von Kryptomining- Software auf betroffenen Servern vorbereiteten. ^{[ 23 ]}

Am 10. März 2021 veröffentlichte der Sicherheitsforscher Nguyen Jang auf dem Microsoft-eigenen GitHub einen Proof-of-Concept- Code , der die Funktionsweise des Exploits demonstrierte. Der Code umfasste 169 Zeilen und enthielt absichtlich Fehler, um Sicherheitsforschern das Verständnis des Exploits zu ermöglichen und gleichzeitig zu verhindern, dass Angreifer den Code für den Zugriff auf Server missbrauchen. Noch am selben Tag entfernte GitHub den Code mit der Begründung, er enthalte „Proof-of-Concept-Code für eine kürzlich bekannt gewordene Sicherheitslücke, die bereits aktiv ausgenutzt wird“. ^{[ 24 ] [ 25 ]} Am 13. März veröffentlichte eine andere Gruppe unabhängig davon Exploit-Code, der nur minimale Anpassungen benötigte, um zu funktionieren. Will Dormann vom CERT Coordination Center erklärte, der Exploit sei nun „völlig bekannt“. ^{[ 26 ]}

Die Angriffe erfolgten kurz nach dem Datenleck der US-Bundesregierung im Jahr 2020 , bei dem auch die Outlook-Webanwendung und die Lieferkette von Microsoft kompromittiert wurden . Microsoft erklärte, es bestehe kein Zusammenhang zwischen den beiden Vorfällen. ^{[ 27 ]}

Microsoft gab bekannt, dass der Angriff ursprünglich von Hafnium , einer chinesischen, staatlich geförderten Hackergruppe ( Advanced Persistent Threat, APT ), verübt wurde, die von China aus operiert. ^{[ 5 ] [ 22 ] [ 6 ] [ 26 ]} Hafnium ist dafür bekannt, die Web-Shell China Chopper zu installieren . ^{[ 26 ]} Microsoft bezeichnete Hafnium als „hochqualifizierten und versierten Akteur“, der in der Vergangenheit hauptsächlich „Einrichtungen in den Vereinigten Staaten ins Visier genommen hat, um Informationen aus verschiedenen Branchen zu exfiltrieren, darunter Forscher im Bereich Infektionskrankheiten, Anwaltskanzleien, Hochschulen, Rüstungsunternehmen, politische Thinktanks und NGOs“. ^{[ 28 ]} In der Bekanntgabe des Hacks erklärte Microsoft, dies sei „das achte Mal in den letzten zwölf Monaten, dass Microsoft öffentlich bekannt gegeben hat, dass staatliche Gruppen Institutionen angreifen, die für die Zivilgesellschaft von entscheidender Bedeutung sind.“ ^{[ 28 ]} Am 12. März 2021 gab es neben Hafnium mindestens neun weitere verschiedene Gruppen, die die Sicherheitslücken ausnutzten, jede mit unterschiedlichen Methoden und Vorgehensweisen. ^{[ 7 ] [ 29 ]}

Die chinesische Regierung wies eine Beteiligung zurück und bezeichnete die Anschuldigungen als „haltlos“. ^{[ 22 ] [ 30 ]}

In einer gemeinsamen Erklärung vom 19. Juli 2021 beschuldigten die USA , Großbritannien , die EU , die NATO und andere westliche Staaten das chinesische Ministerium für Staatssicherheit (MSS), den Exchange-Datendiebstahl sowie weitere Cyberangriffe verübt zu haben. Sie gingen mit hoher Wahrscheinlichkeit davon aus, dass böswillige Cyberakteure mit Verbindungen zum chinesischen MSS Cyberspionageoperationen unter Ausnutzung der Anfang März 2021 bekannt gewordenen Zero-Day-Schwachstellen im Microsoft Exchange Server durchgeführt hatten. ^{[ 31 ] [ 32 ] [ 33 ] [ 34 ]}

Hacker nutzten vier separate Zero-Day -Schwachstellen aus, um den Outlook Web Access (OWA) von Microsoft Exchange-Servern zu kompromittieren ^{[ 2 ].} Dadurch erhielten sie Zugriff auf die gesamten Server und Netzwerke der Opfer sowie auf E-Mails und Kalendereinladungen ^{[ 4 ]} . Zunächst benötigten sie lediglich die Serveradresse, die entweder direkt ermittelt oder durch Massenscans nach anfälligen Servern gefunden werden konnte. Anschließend nutzten die Angreifer zwei Exploits: Der erste ermöglichte es ihnen, sich mit dem Server zu verbinden und sich fälschlicherweise als Standardbenutzer zu authentifizieren . Dadurch konnte eine zweite Schwachstelle ausgenutzt werden, die dem Benutzer Administratorrechte verschaffte ^{[ 35 ] [ 36 ]} . Die beiden letzten Exploits erlaubten es Angreifern, Code an einem beliebigen Ort auf den Server hochzuladen ^{[ 36 ]} , der automatisch mit diesen Administratorrechten ausgeführt wurde. Angreifer nutzten dies typischerweise, um eine Web-Shell zu installieren und so eine Hintertür zum kompromittierten Server zu schaffen ^{[ 37 ]} . Solange die Web-Shell aktiv und der Exchange-Server eingeschaltet war, hatten die Hacker weiterhin Zugriff auf den Server ^{[ 29 ] .}

Through the web shell installed by attackers, commands can be run remotely. Among the actions observed are the downloading of all emails from servers, downloading the passwords and email addresses of users as Microsoft Exchange stores these unencrypted in memory, adding users, adding further backdoors to affected systems, accessing other systems in the network that are unsusceptible to the original exploit, and installing ransomware.^[38] As patching the Exchange server against the exploit does not retroactively remove installed backdoors, attackers continue to have access to the server until the web shell, other backdoors and user accounts added by attackers are removed.^[39]

On 27 and 28 February 2021, there was an automated attack, and on 2 and 3 March 2021, attackers used a script to return to the addresses to drop a web shell to enable them to return later.^[29] Referring to the week ending 7 March, CrowdStrike co-founder Dmitri Alperovitch stated: "Every possible victim that hadn't patched by mid-to-end of last week has already been hit by at least one or several actors".^[40] After the patch was announced, the tactics changed when using the same chain of vulnerabilities.^[29][41]

Microsoft Exchange Server versions of 2010, 2013, 2016 and 2019 were confirmed to be susceptible, although vulnerable editions are yet to be fully determined.^[42] Cloud-based services Exchange Online and Office 365 are not affected.^[43]

Hackers have exploited the vulnerabilities to spy on a wide range of targets, affecting an estimated 250,000 servers.^[11][44] Tom Burt, Microsoft's vice president for Customer Security & Trust, wrote that targets had included disease researchers, law offices, universities, defense contractors, non-governmental organizations, and think tanks.^[28][9][45]

Automatische Updates werden von Serveradministratoren üblicherweise deaktiviert, um Ausfallzeiten und Softwareprobleme zu vermeiden ^{[ 46 ].} Sie werden standardmäßig manuell installiert, nachdem sie mit der bestehenden Software und Serverkonfiguration getestet wurden ^{[ 47 ]} . Da kleinere Organisationen oft über ein geringeres Budget verfügen, um dies intern durchzuführen oder an lokale IT-Dienstleister ohne Cybersicherheitsexpertise auszulagern, erfolgt dies häufig erst, wenn es unbedingt notwendig wird. Daher sind kleine und mittlere Unternehmen sowie lokale Einrichtungen wie Schulen und Kommunalverwaltungen die Hauptopfer von Angriffen, da sie mit größerer Wahrscheinlichkeit keine Updates zur Behebung der Sicherheitslücke erhalten haben. Betroffene in ländlichen Gebieten sind weitgehend auf sich allein gestellt, da sie in der Regel keinen Zugang zu IT-Dienstleistern haben ^{[ 15 ]} . Am 11. März 2021 gab Check Point Research bekannt, dass sich die Anzahl der Angriffe auf die von ihnen beobachteten Organisationen in den vorangegangenen 24 Stunden alle zwei bis drei Stunden verdreifacht hat ^{[ 48 ] [ 49 ].}

Check Point Research hat festgestellt, dass die USA mit 17 % aller Angriffsversuche das am häufigsten angegriffene Land sind, gefolgt von Deutschland mit 6 %, Großbritannien und den Niederlanden mit jeweils 5 % und Russland mit 4 %. Der am häufigsten angegriffene Sektor ist der Regierungs- und Militärbereich mit 23 % der Angriffsversuche, gefolgt vom verarbeitenden Gewerbe mit 15 %, dem Banken- und Finanzdienstleistungssektor mit 14 %, Softwareanbietern mit 7 % und dem Gesundheitswesen mit 6 %. ^{[ 26 ] [ 50 ]}

Der Angriff wurde entdeckt, nachdem Angreifer dabei ertappt wurden, wie sie alle E-Mails bestimmter Nutzer auf separaten Exchange-Servern des Unternehmens herunterluden. ^{[ 38 ]} Ein nicht genannter Thinktank in Washington berichtete, dass Angreifer im Rahmen eines Social-Engineering -Angriffs überzeugende E-Mails an Kontakte verschickten, um die Empfänger zum Anklicken eines Links zu verleiten. ^{[ 45 ]} Am 11. März 2021 meldete das norwegische Parlament, das Storting , ebenfalls Opfer des Hackerangriffs und gab an, dass „Daten entwendet wurden“. ^{[ 51 ]}

Die Europäische Bankenaufsichtsbehörde (EBA) berichtete ebenfalls, Ziel des Angriffs gewesen zu sein ^{[ 10 ]} und erklärte später in einer Pressemitteilung, dass der Umfang der Auswirkungen auf ihre Systeme „begrenzt“ sei und dass „die Vertraulichkeit der EBA-Systeme und -Daten nicht beeinträchtigt wurde“ ^{[ 52 ] .}

Das Sicherheitsunternehmen ESET identifizierte mindestens zehn Advanced Persistent Threat (APT ) -Gruppen, die IT-, Cybersicherheits-, Energie-, Softwareentwicklungs-, Versorgungs- , Immobilien-, Telekommunikations- und Ingenieurunternehmen sowie Regierungsbehörden im Nahen Osten und Südamerika kompromittieren. Eine APT-Gruppe setzte PowerShell- Downloader ein und nutzte betroffene Server zum Schürfen von Kryptowährungen. ^{[ 7 ]} Lior Div, CEO von Cybereason, merkte an, dass die APT-Gruppe Hafnium „kleine und mittlere Unternehmen ins Visier nahm … Der Angriff auf Microsoft Exchange ist 1.000 Mal verheerender als der SolarWinds-Angriff .“ ^{[ 53 ]}

Am 12. März 2021 gab Microsoft Security Intelligence bekannt, dass eine neue Ransomware- Familie namens DearCry auf den zuvor infizierten Servern eingesetzt wurde. Diese verschlüsselt die Geräteinhalte, macht die Server unbrauchbar und fordert ein Lösegeld für die Wiederherstellung der Dateien. ^{[ 16 ]} Microsoft erklärte: „Es gibt keine Garantie, dass Sie durch die Zahlung des Lösegelds wieder Zugriff auf Ihre Dateien erhalten.“ ^{[ 54 ]}

Am 18. März 2021 behauptete ein Ableger der Ransomware-Cybergruppe REvil , unverschlüsselte Daten des taiwanesischen Hardware- und Elektronikkonzerns Acer gestohlen zu haben . Darunter befand sich auch eine unbekannte Anzahl verschlüsselter Geräte. Das Cybersicherheitsunternehmen Advanced Intel brachte diesen Datendiebstahl und den Ransomware-Angriff mit Sicherheitslücken in Microsoft Exchange in Verbindung. Advanced Intel hatte bereits am 5. März 2021 festgestellt, dass einer der Microsoft-Exchange-Server von Acer erstmals Ziel eines Angriffs geworden war. REvil forderte ein Lösegeld von 50 Millionen US-Dollar und erklärte, im Falle der Zahlung würden ein Entschlüsselungsprogramm, ein Bericht über die Sicherheitslücken und die Löschung der gestohlenen Dateien bereitgestellt. Sollte das Lösegeld nicht bis zum 28. März 2021 gezahlt werden, würde es sich auf 100 Millionen US-Dollar verdoppeln. ^{[ 55 ]}

Am 2. März 2021 veröffentlichte das Microsoft Security Response Center (MSRC) eine außerplanmäßige Meldung zu Common Vulnerabilities and Exposures (CVE) und forderte seine Kunden dringend auf, ihre Exchange-Server zu patchen , um mehrere kritische Sicherheitslücken zu schließen . ^{[ 3 ]} Am 15. März veröffentlichte Microsoft das Exchange On-Premises Mitigation Tool, ein PowerShell- Tool, das mit einem Klick installiert werden kann. Dieses Tool installiert die spezifischen Updates zum Schutz vor der Bedrohung, führt einen Malware-Scan durch , der auch installierte Web-Shells erkennt, und entfernt gefundene Bedrohungen. Es wird als temporäre Schutzmaßnahme empfohlen, da es keine weiteren verfügbaren Updates installiert. ^{[ 56 ]}

Am 3. März 2021 erließ die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) eine Notfallanweisung, die Regierungsnetzwerke zur Aktualisierung auf eine gepatchte Version von Exchange zwang. Am 8. März veröffentlichte die CISA auf Twitter eine, wie NBC News es nannte, „ungewöhnlich offene Nachricht“, in der sie „ALLE Organisationen in ALLEN Sektoren“ dringend aufforderte, die Sicherheitslücken zu schließen. ^{[ 57 ] [ 58 ]}

Weitere offizielle Stellen, die Bedenken äußerten, waren das Weiße Haus , die norwegische Nationale Sicherheitsbehörde und das tschechische Amt für Cyber- und Informationssicherheit. ^{[ 59 ] [ 60 ]} Am 7. März 2021 berichtete CNN , dass die Biden-Administration voraussichtlich eine Task Force zur Aufklärung des Sicherheitsvorfalls einrichten werde; ^{[ 61 ]} die Biden-Administration hat Unternehmen der Privatwirtschaft zur Mitarbeit in der Task Force eingeladen und wird ihnen bei Bedarf vertrauliche Informationen zur Verfügung stellen. Der nationale Sicherheitsberater der USA, Jake Sullivan, erklärte, die USA seien noch nicht in der Lage, die Schuld für die Angriffe zuzuweisen. ^{[ 48 ]}

Im Juli 2021 beschuldigte die Biden-Regierung zusammen mit einer Koalition westlicher Verbündeter China offiziell des Cyberangriffs. Die Regierung hob die anhaltende Bedrohung durch chinesische Hacker hervor, verhängte jedoch keine Sanktionen. Laut der Pressesprecherin des Weißen Hauses, Jen Psaki , schließt die Regierung weitere Konsequenzen für China nicht aus. ^{[ 62 ]}