Kombinierte Angriffsketten stoppen

Die internationale Advisory AA26-281A beschreibt keine isolierte Schwachstellenlage, sondern eine zusammenhängende Angriffskette. Nach Erkenntnissen von FBI, CISA, NSA und internationalen Partnern kombinierten China-verbundene Akteure automatisierte Aufklärung und die Ausnutzung von Schwachstellen mit XSS-Aktivität, Passwort-Spraying, VPN-basierter Persistenz sowie der Sammlung und Exfiltration von E-Mails und Zugangsdaten. Damit wird deutlich: Die Priorisierung einzelner CVEs reicht nicht aus, wenn dieselben externen Systeme zugleich den Weg zu Identitäten, Postfächern und kritischen Geschäftsprozessen eröffnen.

Die Behörden ordnen die beobachtete Aktivität China-verbundenen Akteuren zu, die durch Integrity Technology Group unterstützt werden. Diese Attribution ist von den konkret dokumentierten technischen Beobachtungen zu trennen. Für die betriebliche Abwehr ist vor allem die TTP-Kette relevant: Sie verbindet externe Angriffsfläche, nicht unterstützte Software, Identitätsschutz, Erkennung und Wiederherstellung zu einer gemeinsamen Steuerungsaufgabe.

Von der Aufklärung bis zum Postfachzugriff

Die Advisory berichtet über Open-Source-Scanning und ein Werkzeug mit mehr als 1.300 Penetrationstest-Skripten zur Identifikation verwundbarer Ziele. Als betroffene Produkte nennt sie unter anderem lange bekannte Schwachstellen wie CVE-2014-6278, CVE-2015-3306, CVE-2019-11510 und CVE-2021-22205. Das Alter eines CVE ist daher kein tragfähiges Entwarnungskriterium, wenn eine verwundbare Komponente weiter betrieben und aus dem Internet erreicht werden kann.

Nach einem möglichen Einstieg erweitert sich die Kette in Richtung Identitäten. Die Advisory beschreibt XSS-basierte Aktivitäten zum Abgreifen von Zugangsdaten sowie Passwort-Spraying und Passwort-Guessing gegen Exchange- und Microsoft-365-Schnittstellen. Das beobachtete Werkzeug EBurst adressiert unter anderem ECP, EWS, OAB, OWA, RPC, MAPI, PowerShell, Autodiscover und ActiveSync. Gelangen Angreifer an gültige Zugänge, können sie sich in legitime Nutzungswege einfügen. Die Behörden beobachteten außerdem SoftEther-VPN-Clients als Persistenzmechanismus; die automatische Wiederverbindung nach Neustarts erschwert die Untersuchung zusätzlich.

Besonders folgenreich ist der Übergang zur E-Mail-Exfiltration. Beschrieben werden eine PHP-basierte Komponente mit Zugriff über die Microsoft-EWS-API auf E-Mails, Kalender und Kontakte sowie ein weiteres Werkzeug zum automatisierten Abruf von Microsoft-365-Postfachinhalten. Der Schutz von Webmail, EWS-bezogenen Zugängen und verbundenen Cloud-Anwendungen ist deshalb nicht nur eine Collaboration-Frage, sondern ein zentraler Bestandteil der Datenabflussprävention.

Ein gemeinsames Backlog für CVEs, EOL und Exponierung

Vulnerability Management sollte diese Faktoren in einem gemeinsamen Exposure-Backlog zusammenführen: Internetexponierung, Produkt- und Supportstatus, Hinweise auf bekannte aktive Ausnutzung, erreichbare Identitäts- und E-Mail-Dienste, Kritikalität des Geschäftsprozesses, Kompensationskontrollen und Wiederherstellbarkeit. Der CISA-Katalog Known Exploited Vulnerabilities ist hierfür eine wichtige Lageinformation und nach CISA eine Eingabe für Priorisierungsverfahren. Seine zugrunde liegende US-Richtlinie bindet jedoch nur die erfassten US-Bundesbehörden; für andere Organisationen handelt es sich um eine fachliche Empfehlung, nicht um eine deutsche Rechtsvorgabe.

End-of-Life-Software ist dabei ein eigenständiger Risikofaktor, aber kein Beleg für eine erfolgte Kompromittierung. Wo ein Ersatz nicht kurzfristig möglich ist, braucht es ein dokumentiertes Restrisiko: eine fachlich verantwortliche System- und Risikoentscheidung, einen Ablöseplan mit Termin, Segmentierung, reduzierte Exponierung, zusätzliche Überwachung und klare Eskalationskriterien. Die Advisory empfiehlt ausdrücklich, EOL-Produkte durch unterstützte Alternativen im Rahmen von Herstellersupportplänen zu ersetzen.

Externe Angriffsflächen mit Eigentümerschaft steuern

Ein belastbares Exposure Management inventarisiert nicht nur bekannte Webserver und VPN-Gateways. Es prüft auch vergessene Verwaltungsoberflächen, Exchange- und Autodiscover-Endpunkte, EWS-bezogene Zugänge, nicht mehr benötigte Dienste sowie unklare DNS- und Zertifikatsartefakte. Für jeden extern sichtbaren Dienst sollten Eigentümerschaft, Geschäftsbezug, technische Verantwortlichkeit und Supportstatus nachvollziehbar sein. Unbekannte oder nicht mehr benötigte Exponierung ist kein reines Infrastrukturthema, sondern ein Eskalationsfall im Risikomanagement.

Als direkte Unterbrechungspunkte empfiehlt die Advisory unter anderem, nicht benötigte Dienste und Ports abzuschalten, externe Angriffsflächen zu erkennen, XSS abzusichern und Netzwerke zu segmentieren. Diese Maßnahmen entfalten ihren Wert besonders dann, wenn sie nicht isoliert, sondern mit der Priorisierung von EOL-Systemen und erreichbaren Identitätsdiensten verknüpft werden.

IAM gegen Spraying und missbrauchte Postfächer ausrichten

Passwort-Spraying zielt auf die Wiederverwendung schwacher oder verbreiteter Passwörter über viele Konten. MFA ist daher insbesondere für Webmail, VPN und kritische Konten ein wesentlicher Unterbrechungspunkt; die Advisory nennt sie ausdrücklich. Ergänzend sollten Organisationen nicht erforderliche Legacy-Authentisierung deaktivieren, privilegierte Berechtigungen regelmäßig überprüfen, Least Privilege durchsetzen sowie Schlüssel von Servicekonten schützen und rotieren. Auch OAuth- und andere verbundene Cloud-Anwendungen verdienen eine regelmäßige Prüfung, weil sie Zugriffe auf E-Mail-Daten ermöglichen können.

Für die Erkennung sind Korrelationen wichtiger als Einzelereignisse: externes Scanning oder Web-Angriffsversuche, gehäufte fehlgeschlagene Anmeldungen und anschließende erfolgreiche Zugriffe, neue oder auffällige VPN-Clients sowie ungewöhnliche Postfachzugriffe und Upload-Volumina. Die Microsoft-Entra-Anmeldelogs ermöglichen unter anderem die Auswertung fehlgeschlagener Anmeldungen nach Identität, Client-Anwendung und Zielressource. Sie unterscheiden interaktive, nicht interaktive, Service-Principal- und Managed-Identity-Anmeldungen und sollten entsprechend in Detection-Use-Cases berücksichtigt werden.

Log-Readiness und Scoping vor der Bereinigung

Hunting und forensische Aufklärung scheitern häufig nicht an einzelnen IOCs, sondern an fehlender oder zu kurz aufbewahrter Telemetrie. Verfügbar, zeitlich synchronisiert und risikogerecht aufbewahrt werden sollten mindestens Perimeter- und Webserver-Logs, VPN- und Firewall-Protokolle, DNS- und Proxy-Telemetrie, Endpoint-Daten, Windows- und Active-Directory-Ereignisse sowie Entra-, Microsoft-365- und Exchange-Aktivitätsdaten. Exchange-Mailbox-Audit-Logs können Zugriffe durch Besitzer, Delegierte und Administratoren einschließlich Postfachoperationen sowie – abhängig von der Konfiguration – Client-IP, Hostname und Client- oder Prozessinformationen erfassen. Microsoft nennt dafür eine Standardaufbewahrung von 90 Tagen, die angepasst werden kann.

Die Advisory empfiehlt bei möglicher Kompromittierung, betroffene Hosts zunächst einzugrenzen und zu isolieren. Danach sollten Teams Artefakte und Protokolle auswerten, kompromittierte Geräte und Konten bestimmen und eine Aktivitätszeitleiste bilden, bevor sie Bereinigungsmaßnahmen auswählen. Ein Incident-Response-Runbook sollte deshalb Beweissicherung, Host- und Account-Scoping, Token- und Credential-Invalidierung, Prüfung von OAuth-Zustimmungen und Postfachdelegierungen, Persistenzsuche, IOC-Hunting, Kommunikation und Wiederherstellung in einer nachvollziehbaren Reihenfolge definieren. Schnelle Eindämmung bleibt wichtig, muss aber gegen den Verlust relevanter Beweise und Sichtbarkeit abgewogen werden.

BSIG: technische Lage in nachweisbare Steuerung übersetzen

Für besonders wichtige und wichtige Einrichtungen verlangt § 30 BSIG dokumentierte, angemessene und wirksame Risikomanagementmaßnahmen. Genannt werden unter anderem Risikoanalyse, Incident-Bewältigung, Wiederherstellung und Krisenmanagement, Schwachstellenmanagement, Zugriffskontrolle sowie Multi-Faktor- oder kontinuierliche Authentifizierung. Für Betreiber kritischer Anlagen kommt der Einsatz von Systemen zur Angriffserkennung hinzu. Die in AA26-281A beschriebenen TTPs bieten damit eine konkrete fachliche Grundlage, um Kontrollen und Nachweise entlang realistischer Angriffspfade zu prüfen.

Das Runbook sollte außerdem eine frühe Bewertung der Erheblichkeit und der verfügbaren Meldewege enthalten. § 32 BSIG sieht für erhebliche Sicherheitsvorfälle grundsätzlich eine Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und eine Abschlussmeldung vor; die gesetzliche Meldepflicht gilt frühestens ab Einrichtung des vorgesehenen Meldewegs. Zusätzliche datenschutz- oder sektorspezifische Pflichten sind getrennt zu bewerten.

Der entscheidende Managementschritt besteht darin, Altsoftware nicht als dauerhaftes Ausnahmethema zu verwalten. Regelmäßige Entscheidungen sollten Dienst und Geschäftsprozess, Exponierung, TTP- oder KEV-Bezug, Identitätsreichweite, Kompensationskontrollen, Ablöseoptionen, Terminplan, Restrisiko und Ausstiegskriterium verbinden. So wird aus einer einzelnen Advisory ein überprüfbares Programm für Exposure Management, IAM und Incident Response.