TECHBOARD #3: Ransomware legt japanischen Cloud-Anbieter lahm, Angreifer kompromittieren Ivanti-VPN ohne Anmeldung

Real World Hacks

Ein Angriff auf den Cloud-Anbieter IDC Frontier beeinträchtigte die Dienste von 495 Unternehmen und Organisationen. Der japanische Anbieter meldete Auswirkungen auf vier Zonen seiner IDCF-Cloud. Zunächst warnte IDC Frontier, dass sich einige Kundendaten möglicherweise nicht wiederherstellen lassen. Auch die Sicherheit der Cloud-Backups geriet dadurch in Zweifel.

Laut einer aktualisierten Mitteilung von IDC Frontier verbesserte sich die Lage später teilweise. Für 194 der 495 betroffenen Kunden konnten Snapshots erhalten werden. Die übrigen Kunden müssen sich bei der Wiederherstellung auf ihre eigenen Backups verlassen. Zwar wurde der Backup-Dienst am 18. Oktober wieder in Betrieb genommen, doch damit waren längst nicht alle betroffenen Systeme wiederhergestellt.

Der Vorfall zeigt, dass auch Cloud-Infrastrukturen angreifbar sind und Snapshots nicht automatisch eine sichere Datensicherung darstellen. Wird die Infrastruktur eines Cloud-Anbieters kompromittiert, können sowohl Produktivdaten als auch die Mechanismen zu ihrer Wiederherstellung gefährdet sein.

Beim tschechischen Online-Lebensmittelhändler Rohlik wurden Kundendienstgespräche einschließlich sensibler Informationen kompromittiert. Ein Angreifer verschaffte sich Zugang zu einem Kundensupport-System und erbeutete Namen, Kontaktdaten sowie Aufzeichnungen von Gesprächen und Telefonaten. Einige Kunden hatten dabei auch Passwörter oder Zahlungsinformationen preisgegeben. Rohlik erklärte, dass weder die Anmelde- noch die Zahlungssysteme des Unternehmens betroffen waren. Die gestohlenen Gesprächsinhalte könnten jedoch für besonders glaubwürdige betrügerische Anrufe missbraucht werden.

Ein Angreifer erlangte über das Konto eines externen Dienstleisters Zugriff auf Daten zu 8,8 Millionen Personen aus dem dänischen Personenregister (CPR). Laut The Register nutzte die Person, die sich zu dem Angriff bekannte, ein Konto mit dem Passwort „123456“. Zwischen dem 10. und 20. September wurden rund 14 Millionen automatisierte Abfragen durchgeführt. Entdeckt wurde der Missbrauch erst am 2. Oktober, als einem Mitarbeiter der zuständigen Behörde eine Rechnung mit ungewöhnlich hoher Nutzung auffiel.

Schwachstellen im Fokus

Drei Zero-Day-Schwachstellen ermöglichten es Angreifern, eine vollständig aktualisierte VPN-Appliance von Ivanti zu kompromittieren. Sicherheitsforscher von Volexity beobachteten seit dem 3. Oktober aktive Angriffe. Das betroffene Gerät verwendete die damals aktuelle Version 22.8R2.4. Durch die Verkettung der Schwachstellen konnten Angreifer ohne Authentifizierung Code mit Root-Rechten ausführen.

Im ersten Schritt nutzten die Angreifer eine Diskrepanz zwischen der URL-basierten Zugriffskontrolle und dem Routing von Anfragen über den HTTP-Header X-DSCGI-PATH aus. Dadurch erhielten sie Zugriff auf ein geschütztes CGI-Skript. Anschließend nutzten sie eine Race Condition beim Hochladen und Löschen einer Datei. Die Rechteausweitung auf Root erfolgte durch eine vorübergehende Manipulation einer Bibliothek im Arbeitsspeicher sowie der DSCache-Konfiguration, der ein privilegierter Dienst vertraute.

Bemerkenswert ist, dass die Angreifer keine dauerhafte Webshell benötigten. Nach der Ausführung ihrer Befehle machten sie die Änderungen im Arbeitsspeicher rückgängig und löschten Protokolleinträge. Dadurch konnten sie möglicherweise sogar der Erkennung durch den Ivanti Integrity Checker entgehen. Anschließend suchten sie nach Domänenanmeldedaten, LAPS-Passwörtern und BitLocker-Wiederherstellungsschlüsseln.

Microsoft schloss mit 1.411 Sicherheitslücken eine Rekordzahl an Schwachstellen, darunter drei Zero-Days. Eine davon, CVE-2026-96951, wurde bereits aktiv ausgenutzt, um den Mark-of-the-Web-Schutz zu umgehen. Die beiden anderen waren öffentlich bekannt. Das Update verschärfte außerdem den Umgang mit NTLMv1. Ist die Einstellung BlockNtlmSSO nicht konfiguriert, blockiert Windows NTLMv1 jetzt für Single Sign-on. In Umgebungen, die weiterhin NTLMv1 verwenden, kann dies zu Problemen mit WLAN-, Ethernet- oder VPN-Verbindungen führen. Dabei handelt es sich um eine beabsichtigte Sicherheitsänderung und nicht um einen Softwarefehler.

Eine Schwachstelle in PAN-OS ermöglicht authentifizierten Angreifern, Root-Rechte auf einer Firewall zu erlangen. CVE-2026-0322 betrifft die Verwaltungsoberflächen von Firewalls des Herstellers Palo Alto Networks sowie das Managementsystem Panorama. Der Hersteller bestätigte, dass die Schwachstelle bereits in begrenztem Umfang aktiv ausgenutzt wird. Unternehmen sollten betroffene Systeme schnellstmöglich aktualisieren und den Zugriff auf die Verwaltungsoberflächen einschränken.

KI/LLM-News

Angreifer beginnen damit, Anweisungen für KI-Agenten in HTTP-Headern zu verstecken, die für Nutzer beim normalen Surfen unsichtbar bleiben. Forscher von Signals Corps analysierten 217 Millionen Webantworten und fanden auf 7.959 Websites speziell für KI-Systeme bestimmte Header. In 30 Fällen enthielten diese Versuche einer Prompt Injection, wobei es sich in 22 Fällen um Scherze handelte. Solche Anweisungen können ein KI-Modell allerdings nur dann beeinflussen, wenn das verwendete Tool die Header an das Modell weitergibt und die Anweisungen des Agenten der Website entsprechende Autorität einräumen.

CITADELO NEWS

Die BitLocker-Verschlüsselung garantiert nicht in jedem Fall den Schutz von Daten, wenn Angreifer physischen Zugriff auf ein Gerät haben. In unserem Artikel zur Sicherheit von BitLocker beleuchten wir Schwachstellen und Angriffstechniken, die den Schutz verschlüsselter Datenträger beeinträchtigen können.

Industrielle Systeme weisen beim Reifegrad ihrer Cybersicherheit weiterhin erhebliche Defizite auf. Unser Artikel zur OT-Sicherheit erläutert, warum die Segmentierung von IT- und OT-Netzwerken, die Absicherung von Fernzugriffen und sorgfältig geplante Penetrationstests für den Schutz industrieller Umgebungen entscheidend sind.

Würde Ihre IT-Infrastruktur einem ähnlichen Angriff standhalten?

Selbst vollständig aktualisierte Systeme können Schwachstellen enthalten, über die Angreifer in Unternehmensnetzwerke eindringen. Mit den Penetrationstests von Citadelo lassen sich Sicherheitslücken erkennen, bevor sie von Angreifern ausgenutzt werden.