Aktive Angriffe auf Security-Forscher:
Microsoft stopft nächste Zero Day

Während eine Zero-Day-Lücke in Microsofts Exchange für Schlagzeilen sorgt, müssen die Redmonder auch gleich die nächste Schwachstelle stopfen, die bereits aktiv für ziemlich kreative Attacken auf Sicherheitsforscher ausgenutzt wird. Die Angriffe selbst wurden bereits vor einiger Zeit bekannt. Die zugrundeliegende Schwachstelle wurde allerdings erst mit dem gestrigen Patch-Day geschlossen. Er betraf in erster Linie den Internet Explorer, aber auch im neueren Edge-Browser soll der gleiche Bug existiert haben, obwohl dieser ja angeblich komplett neu geschrieben worden ist.

Die Schwachstelle im Browser war aber ohnehin nur ein Teil des gesamten Angriffs, wie Ars Technica berichtet. Dieser bestand in erster Linie darin, dass sich die Angreifer mit eigens eingerichteten Twitter-Accounts und einem Research-Blog selbst als Sicherheitsforscher ausgaben und daran arbeiteten, mit der Zeit das Vertrauen verschiedener Vertreter der Security-Branche zu erarbeiten. Wenn dies gelungen war, wurden die Zielpersonen irgendwann auf eine Webseite gelockt, über die dann die fragliche Sicherheitslücke ausgenutzt wurde.

Alte Bekannte

Wie sich bei Analysen herausstellte, wurde dabei ein vollständig gepatchtes Windows 10 in ausreichendem Maße übernommen, um einen zusätzlichen Dienst und eine Backdoor zu installieren. Hatte dies geklappt, nahm das System Kontakt zu einem Kontroll-Server der Angreifer auf. Wahrscheinlich ging es hier hauptsächlich darum, die Arbeit der Security-Experten beobachten zu können und so schnell Hinweise auf neue Schwachstellen zu bekommen, die sich zügig ausnutzen lassen.

Als die Spezialisten von Google das Problem im Januar entdeckten, fanden sie auch verschiedene Indizien, nach denen die ganze Aktion ihren Ursprung bei einer schon länger bekannten Gruppe hat, die Microsoft als Zinc bezeichnet, die aber eher unter dem Namen Lazarus bekannt ist. Diese gehört wahrscheinlich zu den staatlichen Organen Nordkoreas und beschäftigte sich in den vergangenen Jahren vor allem damit, Geld zu erbeuten, das dann wohl in die Kassen der Diktatur geleitet wurde. Dabei ist Lazarus ziemlich erfolgreich. Ein UN-Bericht aus dem Jahr 2019 kommt bereits auf eine Summe von 2 Milliarden Dollar, die mit verschiedenen Aktionen beschafft und wahrscheinlich zur Finanzierung militärischer Forschungsprojekte eingesetzt wird.

Die Sicherheitslücke, die bei den aktuellen Angriffen ausgenutzt wurde, steht unter der Kennung CVE-2021-26411 in den Datenbanken. Mit den gestern veröffentlichen Patches wird der Bug bei den Nutzern beseitigt und da man davon ausgehen kann, dass ein Exploit schnell auch anderen Angreifern zur Verfügung stehen wird, ist eine zügige Installation der Aktualisierungen angeraten. Ausgeliefert werden diese wie gewohnt über die Windows Update-Funktion.

März-Patch-Day für Windows 10 Alle Infos zu den Updates