Der kürzlich bekannt gewordene Hackerangriff auf das Democratic National Committee hat eine äußerst verbreitete Form des Datendiebstahls erneut ins Rampenlicht gerückt: Angriffe, die auf E-Mails abzielen. Als reflexartige Reaktion auf solche Sicherheitsverletzungen werden häufig Maßnahmen wie die Verschlüsselung von Nachrichten und die Zwei-Faktor-Authentifizierung befürwortet. In der Realität ist es jedoch weitaus komplizierter, diese Angriffe zu verhindern, aufzudecken und darauf zu reagieren. Ein durchschnittliches Unternehmensnetzwerk bietet Angreifern unzählige Möglichkeiten, E-Mails zu stehlen – sei es im Rahmen einer gezielten Aktion, von der nur eine kleine Anzahl von Nutzern betroffen ist, oder im Rahmen eines Versuchs, im Laufe der Zeit Daten in großem Umfang zu sammeln.
In den vergangenen sieben Jahren habe ich mit zahlreichen Organisationen zusammengearbeitet, die bei gezielten Angriffen vertrauliche E-Mails verloren haben. In diesem Blogbeitrag werde ich auf einige gängige Techniken eingehen, die Angreifer meiner Erfahrung nach anwenden, die Auswirkungen von Authentifizierung und Verschlüsselung erörtern und Möglichkeiten aufzeigen, wie Tanium dabei helfen kann, diese Methoden zu erkennen und darauf zu reagieren.
Grundlegende Annahmen
Für die Zwecke dieses Beitrags werden wir einige Annahmen treffen, die ich als „Grundvoraussetzungen“ für jeden gezielten Angriff auf eine Windows-Umgebung betrachte. Lassen Sie uns zunächst festhalten, dass die betroffene Organisation Microsoft Exchange einsetzt, das nach wie vor die am weitesten verbreitete E-Mail-Plattform für Unternehmen ist. Nehmen wir außerdem an, dass der Angreifer bereits Zugriff auf das interne Netzwerk des Opfers erlangt hat und anschließend von aus mindestens einen der folgenden Standorte nutzen kann:
- Browserbasierter Zugriff auf einen von außen zugänglichen Webmail-Server, wie beispielsweise Outlook Web Access
- Ein Zugriffsweg zu internen Exchange-Servern entweder über (1) zuvor mit einer Hintertür versehene Systeme innerhalb desselben internen Netzwerks oder über (2) ein kompromittiertes VPN oder eine andere Fernzugriffslösung
- Hintertürzugang zu einem Endbenutzer-Arbeitsplatzrechner einer Zielperson, deren E-Mails von Interesse sind
Abschließend gehen wir davon aus, dass der Angreifer mindestens eine der folgenden Arten von Zugangsdaten erfolgreich kompromittiert hat:
- Ein privilegiertes Active-Directory-Konto, das einem Exchange- oder Domänenadministrator gehört
- Ein allgemeines lokales Administratorkonto, das für die laterale Bewegung zwischen den betroffenen PCs wiederverwendet werden kann
- Ein nicht privilegiertes Domänenkonto einer Zielperson, deren E-Mails von Interesse sind
Vor diesem Hintergrund wollen wir uns nun einige typische Szenarien ansehen.
Angreifer nehmen häufig Outlook Web Access (OWA) ins Visier
Angreifer nehmen häufig Outlook Web Access (OWA) in der Phase nach dem Einbruch ins Visier, d. h. nachdem sie erfolgreich Anmeldedaten gestohlen haben. Der Zugriff auf OWA ist besonders einfach, wenn keine Zwei-Faktor-Authentifizierung erforderlich ist oder wenn OWA nicht hinter einem VPN liegt, das eine solche Authentifizierung erfordert. Sobald ein Domänenkonto oder alle Domänenkonten gestohlen wurden, muss man sich lediglich wie ein normaler Benutzer anmelden. Die Erkennung solcher Aktivitäten in großem Umfang innerhalb einer großen, multinationalen Organisation kann eine Herausforderung darstellen, insbesondere wenn man bedenkt, dass der Angreifer einen browserbasierten Zugriff von jeder beliebigen Quelladresse oder über jeden beliebigen Zwischenknoten nutzen kann, der ihm zur Verfügung steht.
Selbst wenn das Webmail hinter einem VPN angesiedelt ist, kann es dennoch einem Angreifer ausgesetzt sein, der sich bereits Zugang zum internen Netzwerk verschafft hat. Angreifer prüfen häufig, ob auf die intern zugängliche Webmail-Instanz mit Domain-Anmeldedaten im Rahmen der Ein-Faktor-Authentifizierung zugegriffen werden kann. In diesem Fall können sie mithilfe von Tunneling-Malware von einem bereits mit einer Hintertür versehenen Host aus weitervordringen und sich als der betreffende Benutzer authentifizieren.
Würde eine Verschlüsselung helfen?
Falls Ihre Organisation S/MIME in Verbindung mit Outlook Web Access verwendet, können verschlüsselte E-Mails ausschließlich mit dem Internet Explorer gelesen werden. Zudem muss der zur Entschlüsselung von Nachrichten erforderliche private Schlüssel im Zertifikatsspeicher des lokalen Endpunkts hinterlegt sein. Der Angreifer muss sich dabei Zugang zum privaten Schlüssel des betroffenen Benutzers verschaffen oder über einen Fernzugriff auf dessen eigenen PC auf dessen E-Mails zugreifen. Beides würde bei einer domänenweiten Kompromittierung kein nennenswertes Hindernis darstellen.
Sollte die Organisation andere Verschlüsselungsmethoden wie beispielsweise PGP verwenden, müsste der Angreifer erneut die privaten Schlüssel und Passphrasen aus dem System des betroffenen Benutzers selbst wiederherstellen. Im Falle einer domänenweiten Kompromittierung kann es schwierig sein, einen Angreifer daran zu hindern, Zugriff auf das System eines bestimmten Benutzers zu erlangen. Allerdings zwingt dies den Angreifer dazu, von einem opportunistischen Vorgehen („Ich kann Adams E-Mail von jedem beliebigen Standort aus abrufen“) zu einem gezielten Vorgehen („Zunächst muss ich Adams System kompromittieren…“) überzugehen.
Man sollte bedenken, dass Nutzer bei der Nutzung eines Dienstes wie Webmail häufig den Weg des geringsten Widerstands wählen. Dies führt häufig dazu, dass bei der Nutzung eigener Computer oder anderer Browser unverschlüsselte Nachrichten ausgetauscht werden – was die Möglichkeit für einen leichteren Datendiebstahl bietet, wenn auch in einem engeren Umfang als bei E-Mails.
Wie konnte Tanium dies aufdecken?
Ein Unternehmen hätte selbstverständlich keinerlei Einblick in einen Endpunkt, der sich im Besitz eines Angreifers befindet und über den dieser mithilfe zuvor gestohlener Anmeldedaten direkt über das Internet auf OWA zugreift. Dadurch beschränken sich die verfügbaren Informationsquellen auf den Netzwerkverkehr und die Protokolldaten auf den Mailservern selbst. Die Zentralisierung der Authentifizierungsereignisse von Outlook Web Access in einem SIEM sowie der Webserver-Protokolle kann nachträgliche Untersuchungen erheblich erleichtern. Je nach Netzwerkarchitektur müssen Sie möglicherweise auch mehrere Datenquellen miteinander verknüpfen, um die tatsächliche Quell-IP-Adresse für eingehende Webmail-Anfragen zu ermitteln.
Tanium bietet ein Paket mit den folgenden Komponenten an: „ “ (), „Copy Tools“ () und „ “, das Endpunktprotokolle automatisch erfassen und an einen zentralen Speicherort zur Erfassung und Weiterverarbeitung weiterleiten kann. In früheren Fällen habe ich mit Ermittlern zusammengearbeitet, denen es gelang, böswillige von legitimen OWA-Zugriffen auf ein kompromittiertes Konto erfolgreich zu unterscheiden, indem sie die in den Zugriffsprotokollen aufgezeichneten Browser-User-Agents in Verbindung mit den Zugriffszeiten und den Quelladressen heranzogen.
Wenn der Angreifer über ein kompromittiertes internes System auf das Webmail zugreift, ergeben sich daraus wesentlich mehr Beweismittel hinsichtlich der Endgeräte, die für das „Pivoting“ genutzt wurden. Je nach Zugriffsart stellt Tanium Sensoren bereit, die nach Einträgen im lokalen **Sicherheitsereignisprotokoll**, im Browserverlauf sowie und nach ausgeführten Prozessen suchen können, die den Benutzerkontext für historische Ereignisse enthalten. Beispielsweise kann ein Angreifer, der über eine Hintertür auf dem System eines infizierten Benutzers den Internet Explorer nutzt, Einträge im Browserverlauf unter dem Profil eines Systemkontexts anlegen, anstatt unter dem eigenen Benutzerprofil des Verantwortlichen. Derartige Einträge weisen häufig derart auffällige Merkmale auf, dass sie eine eingehendere Untersuchung rechtfertigen.
E-Mails vom Exchange-Server mit PowerShell extrahieren
Angesichts der Ursprünge von PowerShell in der Verwaltung von Microsoft Exchange-Servern sollte es nicht überraschen, dass sich die Software zum Zugriff auf Benutzerpostfächer sowie zum Abrufen oder Versenden von Nachrichten nutzen lässt. Ich habe mehrere Angriffe beobachtet, bei denen Angreifer bösartige PowerShell-Skripte einsetzten, um E-Mail-Adressen zu sammeln. Für diesen Ansatz ist eine Abhängigkeit erforderlich, nämlich die Exchange Web Services (EWS)-Bibliothek[1], die standardmäßig nicht in PowerShell enthalten ist.
In der Praxis erfordert die Nutzung von EWS lediglich, dass neben dem PowerShell-Code eine einzige DLL, nämlich „Microsoft.Exchange.WebServices.dll“, eingebunden wird. Ein hilfreicher Beitrag auf Stack Overflow[2] zeigt, wie einfach es für ein Skript ist, Nachrichten auf diese Weise abzurufen.
Würde eine Verschlüsselung helfen?
Wenn der Angreifer das PowerShell-Skript vom System des betroffenen Benutzers aus und im Kontext dessen Domänenkontos ausführt, hätte er Zugriff auf den privaten Schlüssel im Windows-Zertifikatsspeicher, der für die S/MIME-Entschlüsselung erforderlich ist. Wie bereits erwähnt, müsste ein Angreifer bei Verwendung einer anderen Verschlüsselungsmethode wie PGP zusätzliche Schritte unternehmen, um den Schlüssel und die Passphrase wiederherzustellen, die zum Anzeigen der abgerufenen Nachrichten erforderlich sind.
Wie konnte Tanium dies aufdecken?
Tanium Trace zeichnet kontinuierlich die Netzwerkverbindungsaktivitäten sowie den zugehörigen Prozess- und Benutzerkontext auf. Eines unserer „Hunting“-Dashboards nutzt den Sensor „ “ (), „Trace Network Connections“ () sowie „ “, um eine gefilterte Ansicht aller PowerShell-Instanzen bereitzustellen, die Verbindungen zu den Ports 80 und 443 hergestellt haben. Mit Ausnahme von Exchange-Administratoren wäre diese Verwendung von PowerShell auf den meisten Endbenutzersystemen oder anderen Servertypen ungewöhnlich. Unsere Kunden nutzen in der Regel die Funktion „Computergruppen“ von Tanium in Verbindung mit solchen Überwachungs-Dashboards, um diese Art von böswilligen Aktivitäten mit höherer Genauigkeit aufzudecken.
Ein weiterer Ansatz bestünde darin, auf den Endgeräten nach dem Vorhandensein oder der Nutzung der Bibliothek „Microsoft.Exchange.WebServices.dll“ zu suchen. Tanium-Benutzer können die Sensoren „ “ (), „Index Query“ () und „ “ ausführen, um die gesamte Festplatte aller Systeme innerhalb von Sekunden nach dieser Bibliothek anhand des Namens oder des Hashwerts zu durchsuchen. Darüber hinaus können die Funktionen „ “ (), „Loaded Modules“ () und „ “ (Sensors) alle Systeme identifizieren, die diese Bibliothek in den Arbeitsspeicher geladen haben. Auch hier können Computergruppen eine weitere Perspektive einbringen, um zwischen der erwarteten und der unerwarteten Nutzung dieser Bibliothek zu unterscheiden.
Tools für die Messaging-Anwendungsprogrammierschnittstelle (MAPI)
MAPI/RPC ist das Standardprotokoll, das Outlook zur Unterstützung von Exchange-Servern verwendet. Da es dokumentiert ist und über verschiedene APIs verfügbar ist, können andere Windows-Anwendungen darauf zurückgreifen. Beispielsweise stellt „MAPIGET.EXE“, eines der in Mandiants Bericht „ 2010 “ auf Seite APT1 hervorgehobenen Dienstprogramme, über MAPI und gestohlene NTLM-Anmeldedaten eine Verbindung zu Exchange-Servern her, um die Nachrichten und Anhänge eines bestimmten Kontos abzugreifen. Auf Systemen, auf denen Outlook installiert ist, können Skriptsprachen wie VBS und VBA ebenfalls den MAPI-Namensraum nutzen, um mit dem Posteingang zu interagieren und E-Mails abzurufen – allerdings unterliegen sie dabei Einschränkungen, die je nach installierter Outlook-Version und deren Einstellungen variieren können.
Aus Sicht der Netzwerküberwachung ist zu beachten, dass die Nutzung von RPC durch MAPI dazu führt, dass Clients über eine Vielzahl von Ports mit hohen Nummern eine Verbindung zu Exchange-Servern herstellen, anstatt über einen einzigen festen Dienstport. Wenn Exchange mit der Funktion „Outlook Anywhere“ konfiguriert ist, können Clients über RPC über HTTPS auf Port 443 eine Verbindung herstellen.
Würde eine Verschlüsselung helfen?
Viele MAPI-basierte Tools laden S/MIME-verschlüsselte Nachrichten einfach als Anhang „smime.p7m” “ herunter. Wie bereits in unseren anderen Szenarien erwähnt, kann ein Angreifer, der auf dem Endgerät des betroffenen Benutzers agiert und über ausreichende Berechtigungen verfügt, auf den Windows-Zertifikatsspeicher zugreifen.
Wie konnte Tanium dies aufdecken?
Die Sensoren „ “ (), „Established Connections“ (), „ “ und „ “ () sowie „Trace Network Connections“ () ( ) können stapelbare Ausgabeergebnisse liefern, die es Analysten ermöglichen, den Namen, den Pfad und den Hash-Wert jedes Prozesses, der eine Verbindung zu Exchange-Serveradressen und Portbereichen herstellt, sofort zu vergleichen. Analysten können mithilfe von „ “ (), „Trace Executed Processes“ () und „ “ weitere Details abrufen, um die Befehlszeilen und die Herkunft verdächtiger Ereignisse zu ermitteln. Durch die Überwachung dieser Daten kann ein Unternehmen unerwünschte Anwendungen erkennen, die versuchen, mit der E-Mail-Server-Infrastruktur zu kommunizieren.
Die Entwendung lokaler Outlook-Postfach- und Archivdateien
Nahezu alle Outlook-Nutzer sind mit den Funktionen „Offline-Postfach“ und „Archivpostfach“ der Anwendung vertraut. Aus Sicht eines Angreifers unterscheiden sich diese nicht von anderen Dateien auf dem Endgerät – sie können mithilfe nativer Betriebssystembefehle oder mithilfe von Funktionen, die vielen Backdoors gemeinsam sind, kopiert, archiviert und übertragen werden. Zwei einschränkende Faktoren können die Größe dieser Dateien sein sowie die Frage, ob der Benutzer sie mit einem Passwort geschützt hat.
Würde eine Verschlüsselung helfen?
Wenn Sie bis hierher gelesen haben, haben Sie die Antwort wahrscheinlich bereits erraten. Wenn der Angreifer auf seinem eigenen PC Zugriff auf die Outlook-Archive des Opfers hat, kann er wahrscheinlich auf alle Daten im Windows-Anmeldedaten-Speicher zugreifen oder mithilfe von Keyloggern oder anderen Techniken weitere Anmeldedaten abgreifen.
Wie konnte Tanium dies aufdecken?
Der Sensor „ “ Trace File Operations kann verwendet werden, um eine gefilterte Suche oder ein Dashboard zu erstellen, das die Erstellung oder Änderung von Outlook-Postfachdateien an ungewöhnlichen Speicherorten – oder durch Ausreißerprozesse – nachverfolgt. Ebenso können die Sensoren von Tanium unter , , Index Queryund unternehmensweit nach gespeicherten Postfachdateien suchen.
Tastenanschlagprotokollierung und Screen-Scraping
Jede Malware, die auf einem infizierten System mit ausreichenden Berechtigungen ausgeführt wird, kann alle Tastenanschläge aufzeichnen und in regelmäßigen Abständen den Inhalt von Fenstern oder den gesamten Bildschirm erfassen. Viele dieser Tools lassen sich so konfigurieren, dass sie ausschließlich Daten erfassen, die den vom Angreifer festgelegten Mustern entsprechen oder aus bestimmten Anwendungen oder mit bestimmten Fenstertiteln stammen. Der Inhalt jeder E-Mail, die vom Endnutzer aufgerufen wird, könnte auf diese Weise offengelegt werden. Natürlich ist dieser Ansatz nicht ideal, wenn der Angreifer schnell eine große Menge an E-Mails sammeln möchte, und er ist in seinem Anwendungsbereich begrenzt – das System jedes betroffenen Nutzers muss infiziert werden, und die Schadsoftware kann im Laufe der Zeit eine beträchtliche Menge an irrelevanten Daten erfassen.
Würde eine Verschlüsselung helfen?
Nein. Sobald etwas auf dem Bildschirm zu sehen ist oder eingegeben wurde, ist es sichtbar.
Wie konnte Tanium dies aufdecken?
Es gibt unzählige Möglichkeiten, Hintertüren, Tastenrekorder, Bildschirmaufzeichnungs- und -ausleseprogramme sowie andere damit verbundene Schadsoftware zu implementieren – daher gibt es keine einheitliche Methode, um alles zu erkennen. Ich habe jedoch oft festgestellt, dass die Analyse von Persistenzmechanismen ein wirksames Mittel ist, um den kleinsten gemeinsamen Nenner solcher Malware anzugehen. Wenn der Angreifer über einen längeren Zeitraum hinweg Daten von einem Endgerät sammeln möchte, muss seine Malware einen Neustart überstehen.
Viele Tanium-Kunden nutzen unsere Sensoren zur Erkennung persistenter Bedrohungen, wie beispielsweise „ “ (), „“ („Autorun Program Details“) (), „ “ („“), „Trace Loaded Drivers“ (), „ “ („“), „DLL Load Order Hijacking Search“ (), „ “ („“), „Service Module Details“ () sowie „ “ () und „WMI Event Consumers“ () ( ), um verdächtige Binärdateien und Skripte unternehmensweit zu erkennen.
Sobald ein Ermittler eine Schadsoftware identifiziert hat, die Tastenanschlagprotokolle oder Bildschirmaufnahmen erstellt, kann er möglicherweise auch feststellen, dass diese eine einheitliche Namenskonvention für die Ausgabedateien verwendet. Der Sensor „ “ () „Trace File Operations“ () „ “ kann dabei helfen, vergangene Dateioperationen zu identifizieren, die einem bestimmten Namen oder Pfadformat entsprechen; die Sensoren „ “ () „Index Query“ () „ “ können ebenfalls ruhende Dateien finden, die einem Muster – oder sogar einer Folge von Header-Bytes – an beliebiger Stelle auf der Festplatte entsprechen.
Weitere Methoden und abschließende Überlegungen
Dieser Beitrag gibt lediglich einen ersten Einblick in die Möglichkeiten, wie Angreifer E-Mails vom Computer eines Opfers oder aus einem kompromittierten Unternehmensnetzwerk entwenden können. Zu den weiteren Techniken gehören:
- Konfiguration von Exchange zur heimlichen Weiterleitung der E-Mails eines Benutzers an eine Adresse eines Dritten
- Benutzer leiten absichtlich ihre eigenen E-Mails an eine persönliche E-Mail-Adresse weiter, die anschließend kompromittiert wird
- Browser-Exploit-Frameworks wie BEEF[3], mit denen sich Webmail-Aktivitäten und andere im Browser befindliche Daten heimlich überwachen lassen.
- Ausrichtung auf interne Software, die zur internen E-Mail-Archivierung (d. h. zur Unterstützung bei Rechtsstreitigkeiten und bei Wirtschaftsprüfungen) eingesetzt wird
- Opfer dazu verleiten, eine schädliche mobile Anwendung zu nutzen, die sich als seriöser E-Mail-Client ausgibt
- … und unzählige weitere …
Die Absicherung von Unternehmens-E-Mails erfordert, wie bei jedem anderen Vermögenswert auch, eine sorgfältige Bedrohungsmodellierung. Bedenken Sie, dass Angreifer in der Regel den Weg des geringsten Widerstands wählen, um ihre Ziele zu erreichen – daher ist nicht jeder Angriffsweg zwangsläufig ein wahrscheinlicher oder praktikabler Vektor, der den gleichen Aufwand an Gegenmaßnahmen erfordert.
In einem typischen flachen Windows-Netzwerk können lokale Sicherheitsverletzungen auf einer Handvoll Systemen schnell zu einer weitreichenderen, domänenweiten Sicherheitslücke eskalieren; andererseits kann die Infizierung einzelner, für den Angreifer relevanter Benutzer für einen Angreifer, der an einem enger gefassten Datenumfang interessiert ist, „ausreichen“. Ebenso ist die Nachrichtenverschlüsselung kein Allheilmittel gegen all diese Angriffsvektoren. Dies kann einen Angreifer jedoch dazu zwingen, sich auf eine begrenzte Anzahl von Opfersystemen zu beschränken, anstatt ihm einen opportunistischen Zugriff auf die Nachrichten beliebiger Konten von jedem beliebigen Einstiegspunkt im Netzwerk aus zu ermöglichen.
Die Bandbreite der verfügbaren Methoden zum Diebstahl von E-Mails ist erschreckend groß, und nicht nur Ziele mit hoher öffentlicher Aufmerksamkeit sind von dieser Bedrohung betroffen. Eine umfassende Transparenz der Endgeräte, um diese zu erkennen und zu bekämpfen, ist der beste Weg, um die Sicherheit Ihrer E-Mails zu gewährleisten.
[1] https://github.com/officedev/ews-managed-api
[2] http://stackoverflow.com/questions/4454165/how-to-check-an-exchange-mailbox-via-powershell
[3] http://null-byte.wonderhowto.com/how-to/hack-like-pro-hack-web-browsers-with-beef-0159961/
Über den Autor: In seiner Funktion als Chief Security Architect bei Tanium bringt Ryan Kazanciyan mehr als 14 Jahre Erfahrung in den Bereichen Incident Response, forensische Analyse und Penetrationstests mit. Ryan ist für die Konzeption und die strategische Ausrichtung der Threat-Response-Lösungen von Tanium verantwortlich und leitet das Tanium-Team für Endpoint Detection and Response (EDR). Bevor er zu Tanium kam, leitete Ryan bei Mandiant die Ermittlungs- und Abhilfemaßnahmen und arbeitete dabei mit Dutzenden von Fortune- 500 -Unternehmen zusammen, die von gezielten Angriffen betroffen waren. Ryan hat als Ausbilder für Black Hat und die Cyber-Einheit des FBI Hunderte von Einsatzkräften geschult. Er ist Mitautor des Werks „Incident Response and Computer Forensics, 3. Auflage“ (McGraw-Hill, 2014). Ryan ist zudem als technischer Berater für die Fernsehserie „Mr. Robot“ tätig, wo er gemeinsam mit den Drehbuchautoren und dem Produktionsteam die in der Serie dargestellten Hackerangriffe konzipiert.
