Murphys Law in Aktion: So wurden Microsofts E-Mail-Systeme gehackt

Microsoft hat jetzt eine Analyse des Vorfalls abgeschlossen, bei dem chinesische Angreifer Zugang zu den E-Mail-Konten diverser US-Regierungsbehörden erhielten. Eine Verkettung einer ganzen Reihe von Fehlern und Schlampereien führte letztlich zu dem Problem.

Hochrangige Ziele

Hinter dem Angriff, auf den die Nutzer aufgrund von merkwürdigen Vorgängen in ihren Postfächern aufmerksam wurden, stand laut Microsoft eine Gruppe, die als Storm-0558 bezeichnet wird. Zu ihren Opfern gehörten unter anderem Handelsministerin Gina Raimondo und der US-Botschafter in China, R. Nicholas Burns. Dementsprechend war Microsoft hier im Zugzwang, in einer Untersuchung des Falles durch den US-Kongress Details herauszufinden und zu liefern.

Eine Kette von Fehlern

Dem kam Redmond nun nach und es zeigte sich, dass es den Angreifern tatsächlich gelungen war, an einen Microsoft Account (MSA)-Schlüssel zu gelangen. Mit diesem können Zugangstoken erstellt werden, mit denen im Falle des Hacks der Zugang zu den Outlook-Accounts auf Microsofts Cloud-Infrastruktur möglich wurde. Die große Frage war also, wie Storm-0558 an diesen Key gelangen konnte.


Eigentlich sollte dieser Key auf einem besonders abgeschotteten System in einer Abteilung liegen, zu denen nur Mitarbeiter mit erfolgter Sicherheitsprüfung Zutritt haben. Dedizierte Konten, Workstations mit sicherem Zugang und Multi-Faktor-Authentifizierung mit Hardware-Token-Geräten sollen Datenlecks nach Außen verhindern.

Einer der in der Abteilung eingesetzten Rechner stürzte allerdings im April 2021 ab und legte dabei einen Speicher-Dump an. In diesem dürften eigentlich keine sensiblen Informationen enthalten sein - interne Mechanismen in Windows sorgen dafür, dass eventuell problematische Bereiche geschwärzt werden. Das war hier aber nicht der Fall, so dass der Dump mit dem MSA-Schlüssel letztlich zur weitergehenden Analyse in einen anderen Bereich des Microsoft-Netzwerkes transferiert wurde.

Korrekturen bereits erfolgt

Irgendwann nach diesem Zeitpunkt konnte der Storm-0558-Angreifer erfolgreich das Unternehmenskonto eines Microsoft-Ingenieurs kompromittieren. Dieses Konto hatte wiederum Zugriff auf die Debugging-Umgebung mit dem Crash-Dump, der fälschlicherweise den Schlüssel enthielt und aus ungeklärten Gründen noch immer dort aufbewahrt wurde.

Selbst mit dem so abgegriffenen Key hätte aber eigentlich noch kein Zugang erfolgen dürfen - denn der MSA-Schlüssel war eigentlich für die Erstellung von Tokens für Privatnutzer-Accounts gedacht. Ein Fehler bei der Einbindung und Prüfung von Bibliotheken im Mail-System sorgte allerdings dafür, dass hier eine weitere Sicherheits-Barriere nur zum Schein vorhanden war.

Microsoft hat seine Erkenntnisse über den Vorfall öffentlich gemacht und auch erklärt, bereits Schlussfolgerungen gezogen zu haben. Die Fehler in der Software - von der freizügigen Gestaltung des Crash-Dumps bis zur Key-Zuständigkeit - seien inzwischen behoben worden. Und auch an den internen Prozessen habe man gearbeitet, hieß es.


Siehe auch: