Facebook Google Plus Twitter LinkedIn YouTube RSS Menu Search Resource - BlogResource - WebinarResource - ReportResource - Eventicons_066 icons_067icons_068icons_069icons_070

Tenable Blog

Abonnieren

Auffinden von Proxylogon und verwandten Schwachstellen in Microsoft Exchange: Wie Tenable helfen kann

Wir empfehlen Unternehmen dringend, Proxylogon (CVE-2021-26855) und verwandte Schwachstellen (CVE-2021-26857, CVE-2021-26858, CVE-2021-27065) in Microsoft Exchange Server zu patchen und ihre Netzwerke auf potenzielle Kompromittierungen zu untersuchen. Hier erfahren Sie, wie Tenable-Produkte dabei helfen können.

Update vom 17. März 2021: Der Abschnitt „Identifizieren betroffener Systeme“ wurde mit Informationen über die Verfügbarkeit einer Scan-Vorlage aktualisiert, mit der Sie schnell gezielte Scans durchführen können, um Systeme zu identifizieren, die von diesen vier CVEs betroffen sind.

Hintergrund

Im Anschluss an die Herausgabe eines Microsoft Out-of-Band-Advisorys über vier Zero-Day-Schwachstellen in Microsoft Exchange Server, die von einem staatlichen Bedrohungsakteur ausgenutzt wurden, der unter dem Namen HAFNIUM bekannt ist, sind mehrere Berichte aufgetaucht, wonach möglicherweise über 30.000 Organisationen von diesen Schwachstellen betroffen sind. Jake Sullivan, der nationale Sicherheitsberater des Weißen Hauses, twitterte, dass die Regierung von „potenziellen Kompromittierungen“ in US-Denkfabriken und Einrichtungen der Verteidigungsindustrie wisse.

Die Auswirkungen dieser Schwachstellen sind nicht nur auf Organisationen in den USA beschränkt, denn es gibt auch Meldungen über kompromittierte Stellen in der Tschechischen Republik und Norwegen. Wir gehen davon aus, dass in den kommenden Tagen und Wochen weitere kompromittierte Organisationen identifiziert werden.

Wie Chris Krebs, ehemaliger Direktor der Cybersecurity and Infrastructure Security Agency (CISA), sagte, sollten Organisationen, in denen Exchange Server über das Internet zugänglich ist, von einer Kompromittierung ausgehen und mit der Suche nach bekannten Indikatoren beginnen.

Wie Tenable helfen kann

Tenable hat Plugins zur Versionsprüfung für Exchange Server 2010, 2013, 2016 und 2019 veröffentlicht, mit denen Sie feststellen können, welche Exchange Server-Systeme in Ihrer Umgebung anfällig sind. Wir haben jedoch auch zusätzliche Checks entwickelt, mit denen anfällige Systeme direkt identifiziert werden können und die potenzielle Web-Shells auf möglicherweise kompromittierten Hosts aufzeigen.

Plugin zur Direktprüfung

Im Gegensatz zu Versionsprüfungen, die unter Umständen einen Credentialed Scan (Scan mit Zugangsdaten) erfordern, ist das Plugin zur Direktprüfung darauf ausgelegt zu testen, ob Ihre Exchange Server-Instanz für den Exploit selbst anfällig ist oder nicht. Wir haben Plugin ID 147171 veröffentlicht, das für Uncredentialed Scans (Scan ohne Zugangsdaten) gefährdeter Exchange Server-Instanzen verwendet werden kann. Sobald der Scan abgeschlossen ist, liefert die Scan-Ausgabe das folgende Ergebnis, wenn das System gefährdet ist:

In diesem Fall ist der Exchange Server anfällig für CVE-2021-26855.

Plugin zur Prüfung auf Indicators of Compromise (IOC)

Zusätzlich zum Direktprüfungs-Plugin hat Tenable Research ein Plugin (147193) entwickelt, mit dem sich Microsoft Exchange-Hosts identifizieren lassen, die auf der Grundlage öffentlich verfügbarer IOCs möglicherweise kompromittiert wurden. Das Plugin kann die folgenden Ergebnisse hervorbringen:

Dieser Screenshot zeigt, dass das Plugin Ergebnisse mit .aspx-Dateien zurückgibt, die darauf hindeuten können, dass der Host kompromittiert wurde.

Bitte beachten Sie, dass das IOC-Plugin möglicherweise harmlose aspx-Dateien als verdächtig kennzeichnet. Wir empfehlen daher dringend, diese Dateien mit Listen bekannter Schadprogramme wie dieser von der NCC Group sowie mit Malware-Datenbanken wie VirusTotal, Hybrid Analysis und PolySwarm abzugleichen.

Verwendung von YARA-Regeln zum Scannen auf Hashes und andere IOCs

Wie wir in unserem letzten Blog erwähnt haben, wurden die IOCs ursprünglich von Microsoft und Volexity veröffentlicht. Volexity hat einen Satz von drei YARA-Regeln zur Identifizierung von Web-Shells bereitgestellt.

Tenable-Produkte bieten die Möglichkeit zur Durchführung von YARA-Scanning durch die Bereitstellung einer YARA-Regel. Bei YARA-Scans werden Dateien auf dem Ziel gescannt, um festzustellen, ob eine Datei den vom Benutzer festgelegten YARA-Regeln entspricht. Diese Funktion verwendet die Optionen Directories und Custom Filescan Directories, um zu bestimmen, welche Dateien gescannt werden sollen. Wenn eine Datei mit einer YARA-Regel übereinstimmt, wird im Scan-Bericht eine „kritische“ Schwachstelle gemeldet, und die betreffende Datei wird angehängt, sofern sie weniger als 5 MB groß ist.

Zusätzlich zu YARA-Scanning können Kunden auch eine Liste bekannter ungültiger Hashes (MD5, SHA1 und SHA256) bereitstellen, die auf dem Zielsystem identifiziert werden sollen. Microsoft hat eine Liste bekannter ungültiger Hashes im Zusammenhang mit der HAFNIUM-Kampagne veröffentlicht.

Priorisierung von Patching und Untersuchung auf potenzielle Kompromittierung

Wir empfehlen unseren Kunden nachdrücklich, die von Microsoft zur Verfügung gestellten Patches so schnell wie möglich anzuwenden. Allerdings halten wir es für ebenso wichtig, das Vorhandensein von Web-Shells und weitere Kompromittierungen in Ihrem Unternehmen zu erkennen, da es sein kann, dass die Angreifer bereits eine Präsenz aufgebaut haben. Durch die Anwendung der verfügbaren Patches wird die Sicherheitslücke zwar geschlossen, aber die Möglichkeit, dass die Angreifer bereits in Ihrem Netzwerk lauern, besteht weiterhin. Deshalb ist es so wichtig, nach diesen IOCs zu suchen.

Identifizieren betroffener Systeme

Im Folgenden finden Sie eine Zusammenfassung aller Checks, die Tenable Research im Zusammenhang mit den Exchange Server-Schwachstellen erstellt hat.

Plugin Plugin-Typ Beschreibung
Security Update for Microsoft Exchange Server 2010 SP 3 (March 2021) Versionsprüfung Identifizieren anfälliger Exchange Server 2010-Systeme.
Security Updates for Microsoft Exchange Server (March 2021) Versionsprüfung Identifizieren anfälliger Systeme mit Exchange Server 2013, 2016 und 2019.
Microsoft Exchange Server Authentication Bypass Direktprüfung Direktes Identifizieren anfälliger Exchange Server-Systeme, ohne Anmeldung mit Zugangsdaten.
Potential exposure to Hafnium Microsoft Exchange targeting Lokale Prüfung Identifizieren von potenziellen Web-Shells in ausgewählten Verzeichnissen zur weiteren Analyse.

Scan-Vorlage

Für Tenable-Produkte wurde eine Scan-Vorlage veröffentlicht, mit der Kunden schnell und einfach gezielte Scans in ihrer Umgebung durchführen können. Die Vorlage „ProxyLogon : MS Exchange“ beinhaltet voreingestellte Richtlinienoptionen und bietet die Möglichkeit, mit Windows SMB-Zugangsdaten nach den oben genannten Plugins zur Versionsprüfung zu suchen. Zwar sind für das Direktprüfungs-Plugin keine Zugangsdaten erforderlich, wir empfehlen jedoch dringend, Zugangsdaten hinzuzufügen, um Ergebnisse für die Versionsprüfungs-Plugins zu erhalten.

Falls wir weitere Plugins im Zusammenhang mit diesen Ereignissen veröffentlichen, werden wir diesen Blog-Beitrag aktualisieren.

Weitere Informationen

Verfolgen Sie die Beiträge des Security Response Team von Tenable in der Tenable Community.

Erfahren Sie mehr über Tenable, die erste Cyber Exposure-Plattform für die ganzheitliche Verwaltung Ihrer modernen Angriffsoberfläche.

Holen Sie sich eine kostenlose 30-tägige Testversion von Tenable.io Vulnerability Management.

Verwandte Artikel

Sind Sie durch die neuesten Exploits gefährdet?

Geben Sie Ihre E-Mail-Adresse ein, um die neuesten Warnmeldungen zu Cyberrisiken in Ihrem Posteingang zu erhalten.

tenable.io

Wir bieten Ihnen vollen Zugriff auf eine moderne, cloudbasierte Schwachstellen-Management-Plattform, mit der Sie alle Ihre Assets mit beispielloser Genauigkeit sehen und nachverfolgen können.

Ihre Testversion von Tenable.io Vulnerability Management umfasst außerdem Tenable Lumin, Tenable.io Web Application Scanning und Tenable.cs Cloud Security.

tenable.io KAUFEN

Wir bieten Ihnen vollen Zugriff auf eine moderne, cloudbasierte Schwachstellen-Management-Plattform, mit der Sie alle Ihre Assets mit beispielloser Genauigkeit sehen und nachverfolgen können. Erwerben Sie noch heute Ihre jährliche Subscription.

65 Assets

Wählen Sie Ihre Subscription-Option:

Jetzt kaufen

Testen Sie Nessus Professional kostenlos

7 TAGE KOSTENLOS

Nessus® ist der umfassendste Schwachstellen-Scanner auf dem Markt. Nessus Professional unterstützt Sie bei der Automatisierung des Scan-Prozesses, spart Zeit in Ihren Compliance-Zyklen und ermöglicht Ihnen die Einbindung Ihres IT-Teams.

Nessus Professional kaufen

Nessus® ist der umfassendste Schwachstellen-Scanner auf dem Markt. Nessus Professional unterstützt Sie bei der Automatisierung des Scan-Prozesses, spart Zeit in Ihren Compliance-Zyklen und ermöglicht Ihnen die Einbindung Ihres IT-Teams.

Mehrjahreslizenz kaufen und sparen! Mit Advanced Support erhalten Sie rund um die Uhr, 365 Tage im Jahr Zugang zum Support – per Telefon, Chat und über die Community.

Lizenz auswählen

Mehrjahreslizenz kaufen und sparen!

Support und Training hinzufügen

Tenable.io

Wir bieten Ihnen vollen Zugriff auf eine moderne, cloudbasierte Schwachstellen-Management-Plattform, mit der Sie alle Ihre Assets mit beispielloser Genauigkeit sehen und nachverfolgen können.

Ihre Testversion von Tenable.io Vulnerability Management umfasst außerdem Tenable Lumin, Tenable.io Web Application Scanning und Tenable.cs Cloud Security.

Tenable.io KAUFEN

Wir bieten Ihnen vollen Zugriff auf eine moderne, cloudbasierte Schwachstellen-Management-Plattform, mit der Sie alle Ihre Assets mit beispielloser Genauigkeit sehen und nachverfolgen können. Erwerben Sie noch heute Ihre jährliche Subscription.

65 Assets

Wählen Sie Ihre Subscription-Option:

Jetzt kaufen

Tenable.io Web Application Scanning testen

Profitieren Sie vom vollen Zugriff auf unser neuestes Angebot zum Scannen von Web-Applikationen, das als Teil der Tenable.io-Plattform für moderne Applikationen entwickelt wurde. Scannen Sie auf sichere Weise Ihr gesamtes Online-Portfolio auf Schwachstellen – mit hoher Genauigkeit und ohne großen manuellen Aufwand oder Unterbrechung kritischer Web-Applikationen. Melden Sie sich jetzt an.

Ihre Testversion von Tenable Web Application Scanning umfasst außerdem Tenable.io Vulnerability Management, Tenable Lumin und Tenable.cs Cloud Security.

Tenable.io Web Application Scanning kaufen

Wir bieten Ihnen vollen Zugriff auf eine moderne, cloudbasierte Schwachstellen-Management-Plattform, mit der Sie alle Ihre Assets mit beispielloser Genauigkeit sehen und nachverfolgen können. Erwerben Sie noch heute Ihre jährliche Subscription.

5 FQDN

3.578,00 USD

Jetzt kaufen

Tenable.io Container Security testen

Profitieren Sie von vollem Zugriff auf die einzige Lösung für Containersicherheit, die in eine Schwachstellen-Management-Plattform integriert ist. Überwachen Sie Container-Images auf Schwachstellen, Malware und Richtlinienverstöße. Kann in Systeme für kontinuierliche Integration und Bereitstellung (CI/CD) eingebunden werden, um DevOps-Praktiken zu unterstützen, die Sicherheit zu stärken und die Einhaltung von Unternehmensrichtlinien zu fördern.

Tenable.io Container Security kaufen

Tenable.io Container Security ermöglicht eine nahtlose und sichere Umsetzung von DevOps-Prozessen, indem es die Sicherheit von Container-Images – einschließlich Schwachstellen, Malware und Richtlinienverletzungen – durch Integration in den Build-Prozess transparent macht.

Tenable Lumin testen

Mit Tenable Lumin können Sie Ihre Cyber Exposure visualisieren und genauer untersuchen, die allmähliche Reduzierung von Risiken nachverfolgen und Benchmark-Vergleiche mit ähnlichen Unternehmen anstellen.

Ihre Tenable Lumin-Testversion umfasst außerdem Tenable.io Vulnerability Management, Tenable.io Web Application Scanning und Tenable.cs Cloud Security.

Tenable Lumin kaufen

Kontaktieren Sie einen Vertriebsmitarbeiter, um zu erfahren, wie Lumin Sie dabei unterstützen kann, Einblick in Ihr gesamtes Unternehmen zu erhalten und Cyberrisiken zu managen.

Tenable.cs testen

Profitieren Sie von vollem Zugriff, um Fehlkonfigurationen in Cloud-Infrastruktur zu erkennen und zu beheben und Schwachstellen in der Laufzeitumgebung anzuzeigen. Melden Sie sich jetzt für Ihre kostenlose Testversion an.

Ihre Tenable.cs Cloud Security Testversion umfasst außerdem Tenable.io Vulnerability Management, Tenable Lumin und Tenable.io Web Application Scanning.

Kontaktieren Sie einen Vertriebsmitarbeiter, um Tenable.cs zu kaufen

Kontaktieren Sie einen unserer Vertriebsmitarbeiter, um mehr über Tenable.cs Cloud Security zu erfahren und herauszufinden, wie einfach es ist, Ihre Cloud-Konten einzurichten und innerhalb von Minuten Einblick in Cloud-Fehlkonfigurationen und Schwachstellen zu erhalten.

Nessus Expert kostenlos testen

7 TAGE KOSTENLOS

Mit Nessus Expert, das für die moderne Angriffsoberfläche entwickelt wurde, erhalten Sie mehr Einblick und können Ihr Unternehmen vor Schwachstellen schützen – von der IT bis zur Cloud.

Sie nutzen bereits Nessus Professional?
Upgraden Sie auf Nessus Expert – 7 Tage kostenlos.

Nessus Expert kaufen

Mit Nessus Expert, das für die moderne Angriffsoberfläche entwickelt wurde, erhalten Sie mehr Einblick und können Ihr Unternehmen vor Schwachstellen schützen – von der IT bis zur Cloud.

Lizenz auswählen

Sonderpreise gelten bis zum 30. September.
Mehrjahreslizenz kaufen und noch mehr sparen!

Support und Training hinzufügen