Riesen-Problem bei Windows 365:
Anmeldedaten im Klartext ausgelesen

Microsofts neues Cloud-PC-Angebot Windows 365 sollte eigentlich mit besonderen Sicherheitsfunktionen für Unternehmen glänzen. Doch nun macht es den Anschein, als ob der Konzern an einer wichtigen Stelle versagt hat. Denn einem Sicherheitsforscher ist es jetzt gelungen, die Azure-Anmeldedaten für einen Windows 365-Account zu ermitteln. Das Online-Magazin Bleeping Computer erläutert gemeinsam mit dem Sicherheitsforscher Benjamin Delpy, wie das möglich ist. Delpy ist dabei bekannt für sein Projekt-Tool Mimikatz. Das ist ein Open-Source-Cybersicherheitsprojekt, welches Forschern ermöglicht, verschiedene Schwachstellen für den Diebstahl von Anmeldeinformationen sowie für die Identitätsfeststellung zu testen.


Nun ist es ihm gelungen, mit einer modifizierten Version von Mimikatz die Azure-Anmeldedaten von Windows 365 zu ermitteln. Windows 365 gibt demnach die Microsoft Azure-Anmeldedaten einfach im Klartext preis, sodass Delpy sie für eine Anmeldung nutzen konnte. Delpy gehört dabei zu den ersten Testern von Windows 365, die einen der raren Testzugänge für zwei Monate erhalten haben. Microsoft hatte Unternehmen eingeladen, am kostenlosen Test teilzunehmen, doch dann nach einem Ansturm auf die Testzugänge das Angebot wieder beendet.


Das Auslesen der Anmeldedaten erfolgt über eine Schwachstelle, die Delpy bereits im Mai 2021 entdeckt hatte. Diese Sicherheitslücke ermöglicht es ihm, Klartext-Anmeldedaten von Benutzern auszulesen, die bei einem Terminalserver angemeldet sind. Normalerweise sind diese Anmeldedaten zwar verschlüsselt, aber Delpy konnte den Terminaldienstprozess austricksen, sodass der Prozess selbst die Daten entschlüsselt und bereitstellt.

Die Schwachstelle kann von einem Dritten ausgenutzt werden, wenn beispielsweise über eine Phishing-E-Mail mit einem bösartigen Anhang Microsoft Defender umgangen wird. Auf dieser Ebene hat Windows 365 erst einmal nur den gleichen Schutz wie Windows 10, was es verwundbar macht. Nimmt man nun eine Sicherheitslücke dazu wie die aktuelle PrintNightmare-Schwachstelle, könnte ein Angreifer Administratorrechte erlangen und dann anschließend ohne weitere Hürden an die Klartext-Anmeldedaten kommen.

Sicherheitsmaßnahmen stehen nicht zur Verfügung

Delpy sagt, dass er typischerweise 2FA, Smartcards, Windows Hello und Windows Defender Remote Credential Guard zum Schutz vor dieser Methode empfehlen würde. Diese Sicherheitsfunktionen sind jedoch derzeit in Windows 365 nicht verfügbar.

Siehe auch: