Das deutsche CERT, das Bundesamt für Informationssicherheit BSI, hat heute die IT-Bedrohungslage "Rot" erklärt, was bedeutet, die Lage sei "extrem kritisch. Ausfall vieler Dienste, der Regelbetrieb kann nicht aufrechterhalten werden".

Zudem seien Zehntausende von deutschen Firmen "mit hoher Wahrscheinlichkeit bereits mit Schadsoftware infiziert". Aus den USA ist dasselbe zu lesen.

Auch in der Schweiz warnte das NCSC (Nationales Zentrum für Cybersicherheit, vormals Melani) bereits Behörden unabhängig von Microsoft, so unsere Recherche. In Deutschland sind offenbar 6 Behörden betroffen, aus der Schweiz ist noch nichts über Opfer bekannt geworden. Jedoch zählt Kaspersky die Schweiz zu den Top-5 der angegriffenen Länder, es wird also viele angreifbare Systeme und viele potenzielle Opfer geben.

Microsoft wird sich der Kritik, nicht nur an den 4 Lücken, sondern am eigenen Handeln kaum entziehen können. Eine Zeitachse von bekannten Ereignissen des bekannten Security-Journalisten Brian Krebs bei 'Krebs on Security' zeigt nämlich, dass Microsoft zwar am 2. März Not-Patches veröffentlichte, weil die Lücken schon ausgenutzt wurden.

Diese Lücken hat aber nicht der Tech-Gigant mit seinen laut Eigenaussagen hohen Security-Standards und KI entdeckt, sondern ein paar externe Security-Consultants einer Firma namens Devcore. Diese hatten Anfangs Dezember 2020 eine erste Exchange-Lücke gefunden und offenbar am 31.12. einen PoC geschafft, wie man zwei Lücken verknüpft. Sie haben dies laut Eigenaussagen am 5. Januar auf dem üblichen Weg Redmond auch gemeldet, samt einer Responsible-Disclosure-Frist zur Behebung.

Volexity, eine US-Firma, hatte offenbar dieselben 2 Lücken wie Devcore am 6. Januar entdeckt und am 2. Februar an Microsoft gemeldet.

Inzwischen hatte Microsoft zudem von dänischen Security-Fachleuten von Dubex am 27. Januar erfahren, dass Exchange-Hacker seit 18. Januar am Werk seien und am 26. Februar habe die Attacke im grossen Stile begonnen.

Hat Microsoft zwischen 5.1.2021 und 2.3. die Exchange-Kunden gewarnt, damit diese die Risiken mindestens mitigieren konnten? Offenbar nicht, so Krebs, der gewöhnlich gut informiert ist. "Das bedeutet, dass Microsoft fast zwei Monate Zeit hatte, um den Patch zu veröffentlichen, der schliesslich am 2. März ausgeliefert wurde, oder um Hunderttausenden von Exchange-Kunden zu helfen, die Bedrohung durch diese Schwachstelle zu mindern, bevor Angreifer begannen, sie wahllos auszunutzen."

Am  März dann waren offenbar schon Zehntausende von Servern weltweit kompromittiert und nun gilt bereits IT-Bedrohungslage "Rot".

In dem Sinne heisst es rund um den Globus: Patchen und überprüfen, ob man schon kompromittiert ist.

Laut BSI besteht "das Risiko erfolgreicher Angriffe insbesondere für alle aus dem Internet erreichbaren Exchange-Server (z. B. im Falle einer Erreichbarkeit via Outlook Web Access (OWA)), wenn die Verbindung nicht ausschliesslich mittels VPN erfolgt." Weiter heisst es: "Die Verwundbarkeit über nicht-vertrauenswürdige Verbindungen auf Port 443 kann grundsätzlich durch jeden Exchange Web Dienst verursacht werden, d. h. nicht nur durch OWA, sondern auch bei der Nutzung von ActiveSync, Unified Messaging (UM), dem Exchange Control Panel (ECP) VDir, den Offline Address Book (OAB) VDirServices sowie weiterer Dienste."

Konkret geht es um CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 und CVE-2021-27065, hält auch das BSI fest.

Patches von MicrosoftPatches von Microsoft sind verfügbar für Exchange Server 2010 (SP 3 RU), Exchange Server 2013 (CU 23), Exchange Server 2016 (CU 19, CU 18), Exchange Server 2019 (CU 8, CU 7).

Bemerkenswerterweise nicht betroffen ist Exchange Online.

Um zu prüfen, ob bereits ein Angriff auf das eigene Netzwerk stattgefunden hat, stellen Microsoft, Volexity und Rapid7 Indicators of Compromise sowie weitere Anleitungen für die Mitigation zur Verfügung.

Die Entdecker von Devcore haben unter dem Namen "Proxylogon" Informationen und eine eigene Zeitachse der Erkenntnisse publiziert. Sie haben laut Eigenaussagen Ende 2020 CVE-2021-26855 gefunden, nämlich wie man die Authentifizierung umgeht und sich dann als Admin ausgibt. Anschliessend hätten sie die Lücke CVE-2021-27065 damit verknüpft und ausgenutzt.

Das ist interessant aus zwei Gründen. Erstens konnten Hacker mehrere Lücken verknüpfen und sie nacheinander ausnutzen: Sie konnten zuerst ins System eindringen, um sich dank einer weiteren Lücke Zugriffsrechte für IT-Systeme beschaffen und drittens dann den Angriff grossflächig starten.

Zum zweiten ist "pre-authenticated Remote Code Execution" wie es Devcore ausführen konnte, kein nigelnagelneues Problem. Es betraf auch schon andere Hersteller und Microsoft hätte Exchange daraufhin testen können. Stattdessen übernahmen dies Security-Kleinfirmen und laut Microsoft eine chinesische Hackergruppe.