Sicherheitswoche 14: ShadowHammer und Lieferkette

Die Hauptnachricht der letzten Woche ist ein gezielter Angriff auf Asus-Gerätebesitzer über das gehackte Asus Live Update-Dienstprogramm. Forscher von Kaspersky Lab fanden im Januar dieses Jahres einen Angriff: Ein infiziertes Dienstprogramm zum Aktualisieren von Treibern auf Laptops und Computern mit Asus-Komponenten wurde mit einem legitimen Zertifikat signiert und von den Servern des Herstellers verteilt. Durch die Änderung des Dienstprogramms erhielten Cracker vollen Zugriff auf alle betroffenen Systeme. Diese Gelegenheit wurde jedoch nur genutzt, wenn die MAC-Adresse eines der Netzwerkadapter des Systems mit der Liste der interessierenden Systeme übereinstimmte.


In diesem Fall wurde zusätzliche Malware von dem im März 2018 erstellten Server heruntergeladen und funktionierte nicht mehr, bevor der Angriff erkannt wurde - vorerst aus unbekannten Gründen. Der Angriff zeichnet sich durch seine Komplexität und Heimlichkeit aus. Höchstwahrscheinlich gingen größere Ereignisse voraus, um Informationen zu sammeln und „vielversprechende“ Opfer zu identifizieren. Obwohl es noch zu früh ist, um über die genaue Zuordnung eines Angriffs zu sprechen, gibt es Hinweise, die ihn mit früheren Vorfällen mit dem CCleaner- Dienstprogramm 2017 in Verbindung bringen. Eine vollständige Untersuchung des Angriffs wird nächste Woche veröffentlicht und auf dem Security Analyst Summit der Kaspersky Lab-Konferenz vorgestellt. In diesem Beitrag - eine kurze Beschreibung des Vorfalls und einige Schlussfolgerungen.

Hauptquellen: Nachrichten , Auszüge aus einer Kaspersky Lab-Studie, ein ausführlicher Artikel auf dem Motherboard , eine offizielle Erklärung von Asus. Mit diesem Onlinedienst können Sie die MAC-Adresse Ihres Asus-Geräts überprüfen.

Was ist passiert

Von Juni bis November 2018 wurde eine infizierte Version des Dienstprogramms Asus Live Update von Asus-Servern verteilt. Das Programm ist auf Laptops dieses Herstellers vorinstalliert, steht jedoch auch Besitzern von Computern zur Verfügung, die auf Asus-Motherboards basieren. Sie können die neuesten BIOS-, Firmware- und Gerätetreiber herunterladen und automatisch installieren. Die schädliche Anwendung wurde auf die Server des Anbieters hochgeladen, mit den legitimen Zertifikaten des Unternehmens signiert und als Update für das Programm verteilt. Reddit hat eine Diskussion über das seltsame Verhalten des Dienstprogramms, obwohl noch nicht festgestellt wurde, ob der im Thread erwähnte Vorfall mit diesem Angriff zusammenhängt.


Obwohl das Dienstprogramm „aktualisiert“ wurde, handelte es sich tatsächlich um eine veraltete Version des Programms mit zusätzlichen schädlichen Funktionen (eine Analyse des von einem unabhängigen Forscher durchgeführten Schadcodes finden Sie hier ). Es kann gefolgert werden, dass die Asus-Infrastruktur teilweise gefährdet war: Die Angreifer hatten Zugriff auf den Update-Server und die digitalen Zertifikate, jedoch nicht auf den Quellcode der Anwendung und die Build-Server. Die Erkennung eines böswilligen Dienstprogramms wurde durch Tests einer neuen Technologie ermöglicht, die darauf abzielt, Angriffe in der Lieferkette (auf Englisch - Lieferkette) zu erkennen, wenn Angreifer entweder Software oder Hardware angreifen, bevor sie an das Opfer des Endverbrauchers geliefert werden, oder die Service-Tools und kompromittieren Geräteverwaltung während des Betriebs - diejenigen, die normalerweise vertrauenswürdig sind.

Wer hat weh getan?

Wenn Sie alle diejenigen zählen, die das Dienstprogramm "mit einem Anhang" geflogen sind, waren Zehntausende von Benutzern betroffen, die meisten davon aus Russland, Deutschland und Frankreich. Dies ist jedoch nur nach Kaspersky Lab. Später stellte Symantec seine eigenen Daten zur Verfügung - sie zählten 13.000 infizierte Systeme mit einem größeren Anteil an US-Benutzern. Dies ist eindeutig nicht alles betroffen, höchstwahrscheinlich befand sich die Malware auf Hunderttausenden von Systemen. Auf den meisten angegriffenen Computern hat das Dienstprogramm jedoch nichts unternommen, sondern nur die MAC-Adressen mit einer eigenen Datenbank überprüft. Im Falle eines Zufalls vom Befehlsserver (die Domäne asushotfix [.] Com wurde dafür registriert) wurde zusätzliche Software geladen. In einigen Fällen war der Auslöser eine Kombination der MAC-Adressen der kabelgebundenen und kabellosen Netzwerkmodule.


Aus zweihundert Beispielen des infizierten Dienstprogramms konnten wir ungefähr 600 MAC-Adressen der Systeme extrahieren, auf die der ShadowHammer-Angriff wirklich abzielte. Was dann mit ihnen gemacht wurde, ist noch nicht klar: Der Befehlsserver funktionierte nicht mehr, bis die Forscher den Angriff entdeckten. Bekannte Fakten enden dort, Schlussfolgerungen beginnen.

Die Komplexität des Angriffs lässt sich kaum noch überraschen - es gibt Beispiele für gezielte Angriffe mit viel ernsthafteren Investitionen in Forschung und Entwicklung. Ein wichtiges Merkmal des ShadowHammer-Vorgangs ist, dass es sich um einen erfolgreichen Supply-Chain-Angriff handelt. Die infizierte Software wird von den Servern des Herstellers verteilt und vom Herstellerzertifikat signiert. Auf der Clientseite gibt es keinen Grund, einem solchen Szenario nicht zu vertrauen. In diesem Fall handelt es sich um ein vorinstalliertes Dienstprogramm, aber auch andere frühere Programme, die der Benutzer normalerweise selbst installiert, wurden erfolgreich angegriffen. Experten von Kaspersky Lab haben Grund zu der Annahme, dass der neue ShadowHammer-Angriff mit zwei Vorfällen vor zwei Jahren zusammenhängt.

Im ersten Fall wurde das oben erwähnte CCleaner-Dienstprogramm geändert und auch von den Servern des Herstellers verteilt. Im zweiten Fall wurde der Hersteller von Software zur Verwaltung von Geräten im NetSarang-Unternehmensnetzwerk angegriffen. Es ist möglich, dass es andere Angriffe gab, bei denen Angreifer die MAC-Adressen von Computern sammelten, die für die Opfer von Interesse waren. In dieser Geschichte gibt es einen Hinweis auf einen der wahren Gründe für die Masseninfektion von IoT-Geräten - IP-Kameras, Router und dergleichen. Es ist nicht immer möglich, über ein infiziertes Gerät auf die gewünschten Daten zuzugreifen, aber es können genügend Informationen gesammelt werden, um sie für den nächsten, gezielteren Vorgang zu verwenden.


Natürlich stellt sich die Frage nach dem Vertrauen in die Hersteller von Hardware und Software: Wenn ein Software-Update oder ein Treiber von einem Anbieter eingeht, ist es sicher oder nicht? Vielleicht müssen Sie noch vertrauen, sonst kann der Punkt der Verwundbarkeit einfach an einen anderen Ort verschoben werden. Eine schnelle Reaktion des Herstellers auf solche Vorfälle ist ebenfalls willkommen. Im Fall von Asus vergingen laut Kaspersky Lab fast zwei Monate von der ersten Benachrichtigung (Ende Januar) bis zur offiziellen Bestätigung des Problems (26. März). Ich frage mich, welche Technologien verwendet werden, um solche Angriffe schnell zu erkennen. Sowohl für Hersteller von Sicherheitssoftware als auch für Anbieter gibt es etwas zu tun. Es gibt immer noch wenige Fälle, in denen ein legitimes Zertifikat zum Signieren von Malware verwendet wird, aber das bloße Vorhandensein einer digitalen Signatur kann nicht mehr als einziges Kriterium für die Bewertung von Software dienen.

Haftungsausschluss: Die in dieser Übersicht geäußerten Meinungen stimmen möglicherweise nicht immer mit der offiziellen Position von Kaspersky Lab überein. Sehr geehrte Redakteure empfehlen generell, Meinungen mit gesunder Skepsis zu behandeln.