TECHBOARD #2: Öffentlicher AnyDesk-Exploit und Datenleck bei BitFaktura

Reale Cyberangriffe

Der Rechnungsdienst BitFaktura hat ein Datenleck bei seinen Kunden gemeldet. Am 28. September entdeckte der Betreiber einen unbefugten Zugriff und das Kopieren seiner Datenbank. Laut der veröffentlichten Mitteilung waren neben Unternehmensdaten und gehashten Passwörtern auch API-Token, Integrationsschlüssel und Sitzungskennungen betroffen. Gültige Token können den Zugriff auf Konten über Integrationen ohne Passworteingabe ermöglichen. Deshalb reicht eine Passwortänderung allein möglicherweise nicht aus.

Das Unternehmen gibt an, Kunden-API-Token auszutauschen und bestehende Schlüssel auf zuvor verwendete IP-Adressen zu beschränken. Kunden werden aufgefordert, ihre Passwörter zu ändern, die Zwei-Faktor-Authentifizierung zu aktivieren und neue Schlüssel in ihren Integrationen zu hinterlegen.

Schwachstellen im Fokus

Eine Sicherheitslücke in AnyDesk ermöglicht Root-Rechte, noch bevor eine Verbindung genehmigt wird. Am 8. Oktober veröffentlichten Sicherheitsforscher den AnyPwn-Exploit für AnyDesk unter Linux in Version 8.0.2. Ein Fehler bei der Verarbeitung von Netzwerknachrichten führt zu einer Speicherbeschädigung und ermöglicht die Ausführung von Befehlen mit Root-Rechten, unter denen der Dienst normalerweise läuft. Der veröffentlichte Exploit demonstriert einen Angriff über eine direkte Verbindung auf TCP-Port 7070.

Einen vollständigen Angriff über Relay-Server haben die Autoren nicht demonstriert. Der Erfolg hängt von der Speicheranordnung ab, und ein fehlgeschlagener Versuch kann zum Absturz des Dienstes führen. Ein Patch ist seit Juni mit Version 8.0.3 verfügbar. Neu im Oktober ist der funktionsfähige öffentliche Exploit, der die Überprüfung älterer Installationen dringlicher macht. Bei Penetrationstests muss daher auch das Risiko eines Dienstausfalls berücksichtigt werden.

Bei Pwn2Own waren Angriffe auf Smartphones und KI-Software erfolgreich. Pwn2Own ist ein Wettbewerb, bei dem Sicherheitsforscher gegen Preisgelder die Ausnutzung von Schwachstellen demonstrieren und ihre Erkenntnisse zur Behebung an die Hersteller weitergeben. Die Oktober-Ergebnisse aus Irland umfassen erfolgreiche Remote-Angriffe auf das Google Pixel 10 und das Samsung Galaxy S26. In der Software LiteLLM, die bei der Arbeit mit Sprachmodellen eingesetzt wird, kombinierte ein Forscher eine unzureichende Eingabevalidierung mit Code-Injection und erreichte dadurch die Remote-Ausführung von Befehlen. Die Ergebnisse zeigen, dass KI-Sicherheitstests auch die Software umfassen müssen, die den Betrieb von KI ermöglicht.

Tool-Tipps

REA verbindet KI-Agenten mit Reverse-Engineering-Tools. Das Tool unterstützt die Analyse von Binärdateien, JavaScript- und Electron-Anwendungen sowie .NET-Assemblies. Die Ergebnisse werden zusammen mit Nachweisen zur Überprüfung bereitgestellt. REA hilft Penetrationstestern, sich schneller in Anwendungen zurechtzufinden und Bereiche zu identifizieren, die eine eingehendere Analyse erfordern.

Sliver GUI bietet eine grafische Übersicht über Testaktivitäten. Die Benutzeroberfläche ermöglicht die Verwaltung von Sitzungen, Agenten, die regelmäßig mit dem Server kommunizieren, sowie gesammelten Dateien und Zugangsdaten. Noch werden nicht alle Befehle und Funktionen des ursprünglichen Frameworks unterstützt.

KI/LLM-News

Anthropic erweitert den Zugang für Penetrationstester. Das erweiterte Cyber Verification Program umfasst drei Zugangsstufen: Defense Access, Red Team Access und Specialized Access. Für Penetrationstest-Unternehmen ist insbesondere die zweite Stufe relevant. Sie ermöglicht verifizierten Organisationen autorisierte Sicherheitstests mit weniger Einschränkungen. Der Zugang muss genehmigt werden und unterliegt bestimmten Beschränkungen. Einzelne Sicherheitsforscher sind derzeit noch nicht für Red Team Access zugelassen. Unternehmen müssen zudem die Bedingungen zur Datenspeicherung berücksichtigen.

In einer weiteren Ankündigung stellt Anthropic Gegenmaßnahmen bis hin zur Beendigung von Gesprächen für Nutzer in Aussicht, die seine Modelle unmenschlich oder grob behandeln. Die neuen Regeln sollen ab dem 12. November gelten. Für Tests und die Erforschung von Modellen gelten Ausnahmen.

CITADELO News

Ein sicheres Backend garantiert noch keine sichere mobile Anwendung. Bei 39 Projekten zur Sicherheitsprüfung mobiler Anwendungen haben wir 254 Schwachstellen identifiziert. Häufige Probleme waren direkt in Anwendungen gespeicherte Zugangsdaten und API-Schlüssel sowie unzureichend geschützte sensible Daten. In unserem neuen Artikel über Penetrationstests für mobile Anwendungen erklären wir, wie Angreifer solche Schwachstellen nutzen können, um Zugriff auf Benutzerkonten zu erlangen.

Sind Ihre Systeme auf aktuelle Cyberbedrohungen vorbereitet?

Neue Schwachstellen und öffentlich verfügbare Exploits verkürzen die Reaktionszeit für Unternehmen. Penetrationstests helfen dabei, Sicherheitslücken in Anwendungen und Infrastrukturen zu erkennen, bevor Angreifer sie ausnutzen können.