Entwendete NSA-Hacking-Tools: DoublePulsar offenbar gefährlicher als WannaCry-Einfallstor EternalBlue

SicherheitSicherheitsmanagement

Bei einem Angriff auf IDT Telecom, einen US-amerikanischen Payment- und Telekommunikationsanbieter, wurde neben der durch WannaCry bekannt gewordenen Sicherheitslücke EternalBlue auch die Schwachstelle DoublePulsar ausgenutzt. Der Kernel-Exploit erlaubt Angreifern unbemerkt in Systeme einzudringen, Anmeldedaten abzugreifen und Hintertüren einzurichten.

Allmählich werden die Folgen des Diebstahls von bevorrateten Sicherheitslücken bei der NSA und deren Veröffentlichung durch die Hackergruppe ShadowBrokers deutlich. Wie von Experten schon direkt im Anschluss an die Veröffentlichung befürchtet, kommen sie bei diversen Angriffen Dritter zum Einsatz. Während die Hintermänner der Ransomware WannaCry die EternalBlue gennante Lücke ausnutzen und damit für viel Aufsehen sorgten, agieren andere verhaltener und stärker im Hintergrund. Sie sind aber deswegen nicht ungefährlicher. Das zeigt eine jetzt bekannt gewordene Attacke auf den US-amerikanischen Payment- und Telekommunikationsanbieter IDT Telecom.

(Bild: Maksim Kabakou/Shutterstock)

Der Angriff wurde bereits im April, also schon kurz nach Veröffentlichung der NSA-Tools durchgeführt. Dabei kam zwar die WannaCry-Ransomware ebenfalls schon zum Einsatz, aber sie diente möglicherweise eher als Ablenkungsmanöver, um die wahren, mit Doublepulsar verfolgten Ziele der Angreifer zu kaschieren. Hinweise auf den Missbrauch von Doublepulsar gab es bereits Ende April. Damals stritten sich Experten aber über die Anzahl der infizierten Rechner und die Zählmethode.

Kurz darauf, am 29. April, wurde IDT Telecom damit angegriffen. Über den Angriff sprach die New York Times allerdings erst jetzt mit Golan Ben-Oni, bei IDT als Chief Information Officer für Sicherheit verantwortlich. Bei Doublepulsar handelt es sich um einen Kernel-Exploit. Er ermöglicht das verdeckte Eindringen in fremde Computersysteme und das Einrichten einer Hintertür. Laut Ben-Oni stiehlt Doublepulsar Anmeldedaten, verbirgt sich hervorragend und wird von nahezu keiner der bekannten Antivirenlösungen erkannt.

Ausgewähltes Whitepaper

EU-Datenschutzgrundverordnung: Warum Insellösungen keine Lösung sind

Ende Mai 2018 endet die Übergangsfrist für die EU-Datenschutzgrundverordnung (EU-DSGVO). Dann greifen in Europa die neuen, strengen Datenschutzregelungen. Firmen, die dagegen verstoßen, drohen Strafen bis zu 20 Millionen Euro oder 4 Prozent ihres Jahresumsatzes. Vor dem Hintergrund ist eine umfassende Gesamtstrategie gefragt.

Bereits Mitte Mai hatte der Sicherheitsforscher Kafeine darauf hingewiesen, dass eine von ihm als “Adylkuzz” bezeichnete Krypto-Mining-Malware die von WannaCry als Einfallstor verwendete Lücke, den auf die SMB-Lücke ausgerichteten Exploit EternalBlue, ausnutzt und offenbar mit der Backdoor Doublepulsar kombiniert. Der Analyse des IT-Sicherheitsunternehmens Proofpoint zufolge, bei dem Kafein inzwischen arbeitet, war die Malware bei der Infektion ungepatchter Windows-Rechner außergewöhnlich effektiv.

Mehr zum Thema

WannaCry: Armutszeugnis für betroffene Unternehmen

WannaCry konnte sich vor allem deshalb so schnell verbreiten, weil IT-Verantwortliche in den betroffenen Unternehmen und Organisationen verfügbare Sicherheitspatches nicht installiert haben. Das offenbart ein bedenkliches Maß an fehlendem Sicherheitsbewusstsein

Allerdings bietet Microsoft für unterstützte Betriebssysteme bereits seit März einen Patch für die ausgenutzte Sicherheitslücke in SMB an. Im Mai schob es dann sogar einen Patch für eigentlich nicht mehr unterstützte Betriebssysteme nach. Zu seiner Verteidigung griff der Konzern kurz darauf dann noch NSA und CIA verbal an: Sie seien für die derzeit laufenden Angriffe mitverantwortlich, weil sie von ihnen entdeckte Sicherheitslücken für die eigene Verwendung gehortet hätten, anstatt sie den Herstellern zu melden. Diese Praxis wird von Sicherheitsexperten schon seit langem kritisiert.

[mit Material von Bernd Kling, ZDNet.de]

Anklicken um die Biografie des Autors zu lesen  Anklicken um die Biografie des Autors zu verbergen