Die Aufmerksamkeit der IT-Welt richtet sich erneut auf die aktuellen Meldungen über einen neuen Zero-Day-Exploit. Diesmal ist der Windows-Druckspooler betroffen. Zwar konzentrierte sich ein Großteil der Berichterstattung auf die Verkettung von Fehlern, die zur versehentlichen Veröffentlichung des Exploit-Codes führte, doch der Vorfall hat uns noch mehr zu sagen.
Sicherheitsverantwortliche und IT-Leiter sollten dies zur Kenntnis nehmen. Ein Überblick über Ihre Ressourcen und deren Status ist der erste Schritt, um die Angriffsfläche zu verringern, die Cyber-Resilienz zu verbessern und die Reaktion auf Vorfälle zu beschleunigen.
Sehen Sie sich diese kurze Demo an, um zu erfahren, wie Tanium die „PrintNightmare“-Sicherheitslücke erkennen und beheben kann.
https://youtu.be/m8cP2HhT48w
Der bisherige Verlauf der Geschichte
Die Geschichte beginnt mit dem „Patch Tuesday“ von Microsoft im Juni, an dem das Unternehmen einen Patch für eine Sicherheitslücke im Windows-Druckspooler veröffentlichte, die ursprünglich als „hohe“ Schweregradstufe eingestuft wurde und eine Ausnutzung zur Rechteausweitung ermöglichte: CVE-2021-1675.
Microsoft stufte die Sicherheitslücke anschließend als „kritisch“ ein, nachdem festgestellt wurde, dass sie auch die Ausführung von Code aus der Ferne (RCE) ermöglichen könnte. Eine Woche später, am 28. Juni, gab der chinesische Sicherheitsanbieter QiAnXin bekannt, dass er einen Exploit entwickelt habe, der sowohl die lokale Rechteausweitung als auch die Remote-Codeausführung in CVE-2021-1675 ermögliche, und veröffentlichte ein Video, in dem dessen Funktionsweise demonstriert wurde.
Leider haben Forscher des in Shenzhen ansässigen Unternehmens Sangfor Technologies diese Nachricht falsch interpretiert. Da sie davon ausgingen, dass es sich bei dem Fehler um dieselbe kritische Sicherheitslücke handelte, die sie im Druckspooler entdeckt hatten, beschlossen sie, einen eigenen Proof-of-Concept-Exploit zu veröffentlichen – der ursprünglich im August auf der Black Hat USA vorgestellt werden sollte. Die Logik war einfach: Da der Fehler von Microsoft bereits behoben worden war (so dachten sie), was konnte da schon schaden?
Die Antwort auf diese Frage werden wir wahrscheinlich in den kommenden Tagen erfahren. Die Sicherheitslücke ermöglicht es einem authentifizierten Angreifer, aus der Ferne Code mit erweiterten Rechten auf jedem Rechner auszuführen, auf dem der Druckspooler-Dienst aktiviert ist, einschließlich Domänencontrollern. Dies könnte potenziell schwerwiegende Auswirkungen haben. Angesichts dessen, was wir über die Angreifer wissen, können Sie davon ausgehen, dass sich der Exploit nun in den Händen derjenigen befindet, die beabsichtigen, ihn gegen alle ungeschützten Systeme einzusetzen.
Was dies für Ihr Unternehmen bedeutet
Die Empfehlung zur Eindämmung dieses Vorfalls ist recht einfach. Unternehmen müssen alle Computer ermitteln, auf denen der Druckspooler ausgeführt wird und auf denen die Domänencontroller-Rolle installiert ist, und anschließend den Dienst auf allen Domänencontrollern deaktivieren, die ihn nicht benötigen. Sobald ein Patch verfügbar ist, sollten sie diesen so schnell wie möglich auf allen betroffenen Endgeräten installieren.
Allerdings gibt es hier noch einen größeren Zusammenhang. Sofern Sie keinen Überblick über Ihre Endgeräte, Workloads, Konfigurationen und den Patch-Status haben, werden Sie ständig damit beschäftigt sein, Probleme zu beheben. Beispielsweise lassen viele Organisationen Dienste und Anwendungen wie den Druckspooler auf kritischer Infrastruktur laufen, die dort eigentlich gar nicht vorhanden sein sollten.
Häufig hat die IT-Abteilung versucht, die Anzahl der Server und virtuellen Maschinen in ihrer Infrastruktur zu konsolidieren, anstatt diese durch separate, dedizierte Dienste zu erweitern. Das bedeutet, dass weniger Geräte gewartet werden müssen, die Angriffsfläche jedoch größer ist, da in ihrer kritischen Infrastruktur nun mehrere Dienste laufen, die eigentlich voneinander getrennt sein sollten. Diesen IT-Teams ist möglicherweise nicht bewusst, welchen Risiken sie ausgesetzt sind, wenn sie keinen Überblick über die Endgeräte haben.
Dies kann zu mehreren kritischen Problemen führen, die gleichzeitig behoben werden müssen, was die Reaktion auf Vorfälle verzögert. Anders ausgedrückt: Das Problem beim ständigen Sprinten ist, dass man einfach nicht schneller laufen kann. Daher sollte der Schwerpunkt stets auf einer guten Cyberhygiene liegen. Die Endgeräte auf den neuesten Stand bringen, die Systeme absichern, den Netzwerkzugang bei Bedarf einschränken – und die Einhaltung der Vorschriften gewährleisten.
Auf diese Weise können Sie die Angriffsfläche verringern und das Risiko minimieren, dass ein weiterer „PrintNightmare“-Vorfall Ihr Unternehmen betrifft.
Proaktiv handeln
Wer aus der Geschichte nichts lernt, ist dazu verdammt, sie zu wiederholen. Nutzen Sie daher diese Gelegenheit, um Ihre Aktionspläne zu überprüfen und die gewonnenen Erkenntnisse einzubeziehen. Dazu könnte die Überprüfung folgender Punkte gehören:
- Um zu prüfen, ob Ihre Sicherheitsstandards den Anforderungen entsprechen. Dies ist nicht das erste Mal, dass wir Probleme mit dem Druckspooler festgestellt haben, zum Beispiel
- Ihre Prozesse zur Systemeinführung, -absicherung und zur kontinuierlichen Compliance, um zu überprüfen, ob die Absicherungsstandards eingehalten werden oder nicht
- Was Risiken durch Dritte betrifft, so sollten Sie alle Ressourcen von Drittanbietern in Ihrem Unternehmen, auf die Sie keinen Zugriff haben, durch eine Firewall abschirmen
Die gute Nachricht ist, dass Tanium Ihnen dabei helfen soll, die entscheidenden Fragen zu Ihrer Endgeräteinfrastruktur zu beantworten. Anhand dieser Informationen können Sie dann Abhilfemaßnahmen ergreifen – zügig und in großem Umfang.
Sobald Sie von einem Problem erfahren, können Sie nahezu in Echtzeit feststellen, wie die aktuelle Umgebung konfiguriert ist, und entsprechende Änderungen vornehmen. All dies in wenigen Minuten statt in Wochen. Tanium kann Sie zudem darauf hinweisen, wenn Sie von den Best-Practice-Vorgaben abweichen.
Wenn Sie nicht wissen, welche Geräte Sie besitzen, wie diese konfiguriert sind und welche Programme darauf laufen, können Sie diese nicht schützen. Sobald das „PrintNightmare“-Problem behoben ist, überprüfen Sie bitte Ihre Umgebung mit der kostenlosen Risikobewertung von Tanium unter. Melden Sie sich noch heute an.
