Kritische Schwachstellen in Exchange-Servern: BSI empfiehlt sofortiges Handeln

Zehntausende Exchange-Server in Deutschland sind nach Informationen des IT-Dienstleisters Shodan über das Internet angreifbar und mit hoher Wahrscheinlichkeit bereits mit Schadsoftware infiziert. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat begonnen, potentiell Betroffene zu informieren. Es empfiehlt allen Betreibern von betroffenen Exchange-Servern, sofort die von Microsoft bereitgestellten Patches einzuspielen.

In der Nacht auf Mittwoch, den 3. März 2021, hat Microsoft kurzfristig neue Sicherheits-Updates für das Produkt „Exchange-Server“ veröffentlicht, mit dem vier Schwachstellen geschlossen werden. Diese werden derzeit aktiv von einer Angreifergruppe ausgenutzt. Sie können über einen Fernzugriff aus dem Internet ausgenutzt werden. Zusätzlich besitzen Exchange-Server standardmäßig in vielen Infrastrukturen hohe Rechte im Active Directory.

Es ist denkbar, dass weitergehende Angriffe mit den Rechten eines übernommenen Exchange-Servers potentiell mit geringem Aufwand auch die gesamte Domäne kompromittieren können. Bei Systemen, die bis dato nicht gepatched wurden, sollte von einer Kompromittierung ausgegangen werden. Aufgrund der öffentlichen Verfügbarkeit von sogenannten Proof-of-Concept Exploit-Codes sowie starken weltweiten Scan-Aktivitäten sieht das BSI aktuell ein sehr hohes Angriffsrisiko.

Das BSI empfiehlt dringend das Einspielen der von Microsoft bereitgestellten Sicherheits-Updates. Anfällige Exchange-Systeme sollten aufgrund des sehr hohen Angriffsrisikos dringend auf entsprechende Auffälligkeiten geprüft werden. Das BSI Lagezentrum arbeitet 24/7.

Erschwerend kommt aktuell hinzu, dass tausende Systeme noch Schwachstellen aufweisen, die seit über einem Jahr bekannt sind und noch nicht gepatched wurden. Insbesondere Kleine und Mittelständische Unternehmen (KMU) könnten hiervon betroffen sein. Neben dem Zugriff auf die E-Mail-Kommunikation der jeweiligen Unternehmen lässt sich von Angreifern über solche verwundbaren Server-Systeme oftmals auch der Zugriff auf das komplette Unternehmensnetzwerk erlangen.

Im Rahmen seines Engagements zur Erhöhung der IT-Sicherheit bei KMU hat sich das BSI daher heute in einem postalischen Schreiben direkt an die Geschäftsführungen derjenigen Unternehmen gewandt, deren Exchange-Server nach Kenntnis des BSI betroffen sind und darin Empfehlungen für Gegenmaßnahmen gegeben. Kontaktiert wurden mehr als 9.000 Unternehmen. Die tatsächliche Anzahl verwundbarer Systeme in Deutschland dürfte noch deutlich höher liegen.

Der Weg aus der Krise

Sebastian Schreiber und das Team der Digitalen Forensik und Incident Response empfehlen in ihren SySS Management News für alle Organisationen, die einen auf Port 443 („HTTPS“) öffentlich erreichbaren Exchange-Server betreiben folgendes: In diesem Fall ist das System eventuell betroffen. Falls der Patch nicht gleich nach Veröffentlichung eingespielt wurde, ist der Server vermutlich ebenfalls betroffen

• Daher sollten die IT-Verantwortlichen folgen Checkliste abarbeiten:
• Patch installieren, falls das nicht bereits geschehen ist.
• Prüfen ob der/die Exchange-Server betroffen sind. Dazu gibt es zwei veröffentlichte Scanner, die helfen, einer von Microsoft und einer auf Github. Diese beiden geben zwar keine finale Sicherheit, informieren aber, ob der getestete Exchange-Server von einer der bekannten Angreifergruppen kompromittiert worden ist.

Falls diese Situation für den betreffenden Exchange-Server zutrifft, sind die folgenden Punkte abzuarbeiten:

Als ersten Schritt sind die HTTP/HTTPS-Zugriffe auf den Exchange-Server zu unterbinden. Dabei ist zu prüfen, ob die Angreifer Schadsoftware hinterlassen haben. Normalerweise wird eine Webshell installiert, die dem Angreifer Zugriff auf das System lässt.

• Dann ist zu klären, ob die Angreifer mehr getan haben – bspw. sich vom Exchange aus intern ausgebreitet haben, AD-Zugangsdaten gestohlen haben – was häufig der Fall ist.
• Anschließend gilt es, die Log-Dateien zu sichern und zu prüfen: Netzwerk-, Firewall-, DC- und ISS-Logs, sowie die Zugriffe auf den Exchange-Server sind hier das Wichtigste.
• Danach sollte geprüft werden, ob es zu unberechtigten Zugriffen auf E-Mail-Konten, bspw. von
  unbekannten IP-Adressen aus, gekommen ist.
• Danach sind der Exchange-Server und eventuell weitere betroffene Systeme neu einzurichten oder sie sollten aus sauberen Backups wiederhergestellt werden.
• Dann muss man unbedingt die Patches einspielen, bevor die Systeme wieder öffentlich erreichbar sind!
• Danach gilt es, das Active Directory zurückzusetzen. Dabei ist auch an eventuelle Golden Tickets, Service Accounts und Ähnliches zu denken. Auch VPN-Zugänge oder Vergleichbares können abgeflossen sein.
• Und zu guter Letzt muss man an eventuell anfallende Meldepflichten an die zuständige Datenschutzbehörde beachten. (rhh)

SYSS GmbH

Betroffene Organisationen finden hier Informationen.

Weitere Informationen zur Warnung

(Der Beitrag wurde mit der angehängten Checkliste am 9. März 2021, 08:15 aktualisiert)