Es ist nun fast drei Monate her, seit eine Sicherheitslücke in der beliebten Dateiübertragungs-App MOVEit entdeckt und behoben wurde, doch die Liste der Unternehmen und Behörden, die von dem MOVEit-Hack betroffen sind, wird immer länger. Und der Amoklauf zeigt keine Anzeichen, nachzulassen.
Einigen Schätzungen zufolge könnten bislang mehr als 40 Millionen Menschen sowie mindestens 600 öffentliche und private Organisationen von der Ende Mai bekannt gewordenen Zero-Day-Sicherheitslücke in MOVEit betroffen sein. Das jüngste prominente Opfer ist IBM, das letzte Woche bestätigte, dass die Nutzung der Anwendung „MOVEit“ möglicherweise dazu geführt hat, dass Millionen von Gesundheitsdaten, die von staatlichen Behörden in Colorado und Missouri verwahrt werden, offengelegt wurden. Diese Angriffe, die größtenteils von der russischen Ransomware-Bande „ “ („Clop“) verübt wurden, haben alle Ebenen der Regierung sowie Hochschulen, Krankenhäuser , Banken, Pensionsfonds, Börsenhändler, Technologieanbieter , Versicherer, Wirtschaftsprüfer und eine Online-Glücksspielseite getroffen.
Es überrascht nicht, dass die Zahl der Rechtsstreitigkeiten im Zusammenhang mit dem Cybervorfall sprunghaft ansteigt. Die Progress Software Corp., Hersteller von MOVEit, sieht sich laut dem „Wall Street Journal“ mit mindestens 13 Klagen vor verschiedenen Bundesgerichten in den Vereinigten Staaten konfrontiert. Und da es Hunderttausende von MOVEit-Kunden gibt, bemühen sich Anwälte intensiv darum, Personen ausfindig zu machen, die Schreiben bezüglich der MOVEit-Datenschutzpanne erhalten haben, um zu prüfen, ob diese sich möglicherweise den Sammelklagen unter anschließen möchten.
Allein in den letzten Wochen wurden Klagen gegen die University of Rochester, die Teachers Insurance and Annuity Association, die Johns Hopkins University, Maximus Federal Services sowie Pension Benefit Information (ein Dienstleister des California Public Employees’ Retirement System) wegen dieser Datenschutzverletzung eingereicht.
Dies stellt eine ganz neue Herausforderung für sehr alte Software dar. Dateiübertragungssysteme dienen seit Jahrzehnten der Datenübertragung und gelten als unverzichtbar für den Handel.
“„Dateiübertragungsprogramme sind bekanntermaßen mit Sicherheitsproblemen behaftet, da die von ihnen verarbeiteten Daten häufig unverschlüsselt sind.“Tim Morris, Chief Security Officer bei Tanium
„Daten sind für die meisten Unternehmen lebenswichtig“, sagt Tim Morris, Chief Security Officer bei Tanium, einem führenden Anbieter von Cybersicherheitssoftware (und Herausgeber von Focal Point). „Dateiübertragungsprogramme sind jedoch bekanntermaßen mit Sicherheitsproblemen behaftet, da die von ihnen verarbeiteten Daten häufig unverschlüsselt sind.“ „Kommt man dazu noch Sicherheitslücken wie die in MOVEit hinzu, werden Cyberkriminelle mit Exploits ein leichtes Spiel haben.“
Glücklicherweise gibt es Maßnahmen, die Unternehmen ergreifen können, um zu vermeiden, dass sie von diesem massiven Datenleck betroffen sind.
[Lesen Sie auch: Fehlen Cybersicherheitsanalysen in Ihrer Sicherheitsstrategie?]
Warum der MOVEit-Datenverstoß ein so schwerwiegendes Problem darstellt
Um dem Problem zuvorzukommen, ist es hilfreich zu verstehen, was dahintersteckt. Am 31. Mai gab Progress unter bekannt, dass es von einer SQL-Injection-Sicherheitslücke in MOVEit erfahren habe, durch die Hacker durch das Einfügen von Schadcode in Eingabefelder Netzwerkzugriff oder -kontrolle erlangen können. Progress leitete umgehend eine Untersuchung ein, informierte die MOVEit-Kunden, gab Maßnahmen zur Risikominderung bekannt und veröffentlichte 48 Stunden später einen Patch.
„Viele Organisationen konnten den Patch tatsächlich installieren, bevor die Sicherheitslücke ausgenutzt werden konnte“, erklärte Eric Goldstein, ein hochrangiger Vertreter der US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA), gegenüber Reuters.
Bei vielen anderen Sicherheitslücken hätte der Patch möglicherweise ausgereicht, um weitreichende Probleme zu verhindern. In diesem Fall wussten die Clop-Hacker jedoch bereits von der MOVEit-Sicherheitslücke, die der Zero-Day-Sicherheitslücke „ “ bei GoAnywhere MFT im Januar ähnelte, und hatten bereits vor der Warnung von Progress mit Angriffen begonnen.
Mit anderen Worten: Die Hacker hatten einen Vorsprung. Und wenn man „Progress“ Glauben schenkt, sind genau diese Vorreiterrolle sowie die Aggressivität von Clop und die zunehmende Verflechtung von Daten, Software und Lieferketten in unserer digitalen Welt die Hauptgründe dafür, dass so viele Behörden und Unternehmen erst jetzt feststellen, dass sie Opfer von MOVEit-Angriffen geworden sind.
[Lesen Sie auch: Der Aktionsplan der US-Regierung zur Stärkung der Lieferketten]
Ein weiterer Grund ist laut Experten, dass viele Unternehmen die Notwendigkeit von Sicherheitspatches nicht so ernst genommen haben, wie sie es hätten tun sollen.
Aufschieben durch Flicken? Dies könnte der eigentliche Grund für die Probleme mit MOVEit sein
Ob dies zutrifft oder nicht, lässt sich nur schwer beurteilen. Sicherheitsforscher wie Huntress, denen es gelungen ist, die üblicherweise zur Ausnutzung der MOVEit-Sicherheitslücke verwendete Angriffskette nachzuvollziehen, haben jedoch erklärt, dass der Patch von Progress Software „“ unseren nachgestellten Exploit tatsächlich vereitelt.
“It’s very Log4j-esque.”John Hammond, Forscher im Bereich Cybersicherheit, Huntress
Die bisherigen Erkenntnisse deuten darauf hin, dass viele Organisationen den Patch wahrscheinlich nicht installiert haben, weil sie die Bedrohung möglicherweise nicht so ernst genommen haben, wie sie es hätten tun sollen, oder weil ihnen die Zeit und die Ressourcen fehlten, um dies schnell genug zu bewerkstelligen. Da MOVEit zudem über gesamte Lieferketten hinweg eingesetzt wird, ist es durchaus möglich, dass einige IT-Abteilungen gar nicht wussten, dass sie selbst oder ihre Partner dieses Dateiübertragungsprodukt nutzten.
In that sense, “it’s very Log4j-esque,” says John Hammond, a cybersecurity researcher with Huntress, referring to the Apache vulnerability that’s been a persistent threat since its discovery in November 2021. Einigen Schätzungen zufolge sind 72 % der Organisationen nach wie vor dafür anfällig.
So minimieren Sie die Gefahr, die von der MOVEit-Datensicherheitsverletzung ausgeht
Was kann ein Unternehmen also tun, wenn es noch keine Maßnahmen zu seinem eigenen Schutz ergriffen hat? Experten empfehlen folgende Vorsichtsmaßnahmen:
1. Prüfung
Sie müssen wissen, ob Sie oder Ihre Lieferanten MOVEit einsetzen und ob dies Auswirkungen auf Sie haben könnte. Führen Sie eine Bestandsaufnahme der Anwendungen und Ressourcen von „ “ unter durch, um festzustellen, ob sich MOVEit-Server in Ihrer IT-Infrastruktur befinden. Sie sollten sich zudem an Ihre Lieferanten wenden und diese für die Sicherheit der von ihnen eingesetzten Technologien zur Verantwortung ziehen. Das Technologieunternehmen Prevalent hat unter eine nützliche Liste mit Fragen zusammengestellt, die Sie bei diesen Gesprächen stellen könnten. „Selbst wenn das, was sie besitzen, nicht in Ihren Zuständigkeitsbereich fällt, ist es dennoch ein Faktor, der Einfluss darauf hat, wie Sie die Sicherheit Ihres Betriebs gewährleisten“, sagt Hammond.
2. Patch
Ich sage hier zwar nur das Offensichtliche, aber Sie setzen die Existenz Ihres Unternehmens, Ihren Ruf und Ihre Rechtslage aufs Spiel, wenn Sie nicht alle Patches installieren. Progress hat angekündigt, dass das Unternehmen nun etwa alle zwei Monate Service Packs veröffentlichen wird. Achten Sie darauf. Den meisten Unternehmen ist offenbar die Notwendigkeit einer Aktualisierung bewusst, und sie haben 21 -mal schneller gehandelt, als es üblicherweise zur Behebung dieses Problems erforderlich wäre, so ein Bericht von Bitsight. Infolgedessen ist die Zahl der von dieser Sicherheitslücke betroffenen Organisationen um somewhat—77 % zurückgegangen; 101 % der ursprünglich betroffenen Organisationen sind laut Bitsight nun nicht mehr anfällig. Das bedeutet natürlich, dass 23 % weiterhin anfällig für Angriffe sind.
[Lesen Sie auch: Was ist Sicherheitsautomatisierung?]
3. Deaktivieren
Progress empfiehlt außerdem, den gesamten HTTP- und HTTPS-Datenverkehr zu Ihrer MOVEit Transfer-Umgebung zu deaktivieren, da dies eine wichtige Schutzmaßnahme darstellt. Genauer gesagt möchten Sie die Firewall-Regeln so anpassen, dass HTTP- und HTTPS-Datenverkehr zu MOVEit Transfer auf den Ports 80 und 443 blockiert wird, bis der Patch installiert werden kann.
4. Segment
Tim Morris von Tanium empfiehlt zudem, genau darauf zu achten, wo Sie Ihre Daten speichern, und sicherzustellen, dass diese nicht über einen längeren Zeitraum am selben Ort wie MOVEit aufbewahrt werden. „Indem die Daten vom Edge an einen sichereren Ort übertragen werden, wird der ‚Auswirkungsradius‘ effektiv verringert“, sagt Morris. „Dadurch wird der Umfang der Daten, die ein Angreifer stehlen kann, eingeschränkt und die Auswirkungen der Sicherheitslücke minimiert, sodass MOVEit als Proxy fungiert, der Daten zügig weiterleitet, diese jedoch nicht speichert.“
5. Monitor
Morris erklärt, es sei zudem von entscheidender Bedeutung, Netzwerkanschlüsse, Protokolle und Dienste zu überwachen und sicherzustellen, dass die Sicherheitskonfigurationen auf Geräten der Netzwerkinfrastruktur, wie Routern und Firewalls, aktiviert sind.
6. Stärken
Experten empfehlen zudem eine Reihe von vernünftigen Maßnahmen zur Cyberhygiene, darunter:
- Aktualisierung der Netzwerk-Firewall-Regeln , um Verbindungen zur MOVEit-Infrastruktur ausschließlich von vertrauenswürdigen IP-Adressen zuzulassen.
- Die Überprüfung und Löschung nicht autorisierter Benutzerkonten ist eine unverzichtbare Aufgabe, die auf der Sicherheits-To-Do-Liste eines Unternehmens allzu oft nach hinten verschoben wird.
- Den Dateizugriff auf Personen beschränken, die bereits vom Netzwerk authentifiziert wurden, und Administratorrechte nur dann gewähren, wenn dies unbedingt erforderlich ist.
- Aktualisierung der Fernzugriffsrichtlinien unter , um eingehende Verbindungen ausschließlich von vertrauenswürdigen IP-Adressen zuzulassen.
- Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA) unter , um MOVEit-Konten vor nicht verifizierten Benutzern zu schützen.
- Die Vorverschlüsselung sensibler Dateien mithilfe echter Algorithmen wie dem Advanced Encryption Standard (AES), einer symmetrischen Blockverschlüsselung, die dazu beitragen kann, übertragene Informationen schnell zu verschlüsseln und zu entschlüsseln (stellen Sie sich AES als einen äußerst sicheren Geheimcode vor, der Nachrichten in unverständlichen Kauderwelsch verwandelt, den nur die richtige Person verstehen kann).
7. Beachten Sie
Genau wie Hollywood-Filmemacher folgen auch Hacker den Trends. Wenn Forscher eine Sicherheitslücke in einer bestimmten Softwarekategorie entdecken und Ransomware-Gruppen diese gewinnbringend ausnutzen, folgen in der Regel ähnliche Schwachstellen und Cyberangriffe.
Angriffe über Dateiübertragungen liegen derzeit im Trend, und dies dürfte nicht das letzte Mal sein, dass wir von Sicherheitslücken im Zusammenhang mit MOVEit hören. Selbst wenn es den Strafverfolgungsbehörden irgendwann gelingen sollte, Clop unschädlich zu machen, ist es nach wie vor von entscheidender Bedeutung, die Nachrichten zu verfolgen, auf Warnmeldungen und Schreiben von Anbietern zu achten und auf bekannte Anzeichen für Sicherheitsverletzungen zu prüfen, da es immer böswillige Akteure geben wird. Aktuelle Informationen zu MOVEit Transfer finden Sie unter sowie hier:. Informationen zu MOVEit Cloud finden Sie unter hier:.
„Ich habe das Gefühl, dass Sicherheitsverletzungen bei MOVEit noch viel länger ein Problem darstellen werden, als wir ursprünglich angenommen hatten, und dass sie uns allerlei kostspielige Probleme bereiten werden“, sagt Morris. „Wenn Sie jedoch Ihre Systeme regelmäßig aktualisieren und angemessene Cybersicherheitsmaßnahmen befolgen, sollten Sie in der Lage sein, das Risiko, von diesem Problem betroffen zu sein, auf ein Minimum zu reduzieren.“
