ProxyLogon: Die Exchange-Lücken, die Mailserver öffneten

Am 2. März 2021 veröffentlichte Microsoft Notfall-Updates für Exchange Server, die Mailserver-Software, die viele Organisationen auf eigenen Rechnern betreiben. Die Updates schlossen vier Sicherheitslücken, die Angreifer da schon seit zwei Monaten ausnutzten: Ohne Passwort konnten sie Postfächer lesen und die Kontrolle über den Server übernehmen. Sobald die Lücken öffentlich waren, schlossen sich viele weitere Gruppen den Angriffen an.

So funktionierte der Angriff

Exchange hat ein Frontend, das Anfragen aus dem Internet entgegennimmt und an die Dienste dahinter weiterleitet. Die Hauptlücke, CVE-2021-26855, ist eine Server-Side Request Forgery, also eine Anfragefälschung auf dem Server. Ein Angreifer, der nicht angemeldet ist, sendet eine präparierte Anfrage, und das Frontend leitet sie weiter, als hätte der Exchange-Server selbst gefragt. Das allein reichte schon, um Postfächer zu lesen.

Mit diesem Zugang nutzte der Angreifer eine zweite Lücke, CVE-2021-27065 oder CVE-2021-26858, um eine Datei seiner Wahl auf den Server zu schreiben. Diese Datei war eine Webshell, eine kleine Webseite, die jeden Befehl ausführt, den der Angreifer ihr schickt. Eine dritte Lücke, CVE-2021-26857, ließ Angreifer Code als SYSTEM ausführen, also mit den höchsten Rechten unter Windows.

Das taiwanische Sicherheitsunternehmen DEVCORE entdeckte die erste Lücke am 10. Dezember 2020. Am 5. Januar 2021 meldete es Microsoft eine Kette aus zwei Lücken, die es ProxyLogon nannte. Doch die Angriffe hatten schon zwei Tage früher begonnen, am 3. Januar, wie das Sicherheitsunternehmen Volexity herausfand. Volexity und das Unternehmen Dubex meldeten Teile der Angriffskette, die sie bei Angriffen beobachtet hatten. Microsoft schrieb die erste Angriffswelle einer Gruppe zu, die es HAFNIUM nennt und als staatlich unterstützt und von China aus operierend einstuft. Diese Angreifer nutzten alle vier Lücken.

Reichweite und Schaden

Am 1. März 2021, einen Tag vor dem Fix, zählte das Sicherheitsunternehmen RiskIQ fast 400.000 Exchange-Server, die aus dem Internet erreichbar waren; das berichtete Microsoft. Das ist die Zahl der gefährdeten Server, nicht die der gehackten. Am 9. März waren noch etwas mehr als 100.000 verwundbar. Am 12. März fehlte das Update noch auf etwa 82.000.

Keine Quelle nennt die Gesamtzahl der Server, in die Angreifer eingedrungen sind. Das Sicherheitsunternehmen ESET fand bis zum 10. März 2021 Webshells auf mehr als 5.000 Mailservern in über 115 Ländern. Diese Zahlen stammen aus ESETs eigenen Produkten und zeigen deshalb nur einen Teil des Bildes. ESET zählte mehr als zehn verschiedene Angreifergruppen, die meisten davon sogenannte APT-Gruppen, also Teams, die ihre Ziele über lange Zeit ausspionieren.

Nach der Veröffentlichung zogen auch Kriminelle nach. Bis zum 25. März fand Microsoft auf rund 1.500 Systemen Webshells der Bande hinter der Ransomware DoejoCrypt, einer Schadsoftware, die Dateien verschlüsselt und Lösegeld fordert. Nicht auf allen Systemen kam es so weit, dass Dateien verschlüsselt wurden. Eine dokumentierte Gesamtzahl für den Schaden oder die gestohlenen Postfächer gibt es nicht.

Fix und Reaktion

Microsoft wollte den Fix eigentlich an seinem regulären monatlichen Patchday ausliefern, dem 9. März. Stattdessen veröffentlichte es die Updates eine Woche früher, außerhalb des üblichen Rhythmus. Sie gelten für Exchange Server 2013, 2016 und 2019. Exchange Server 2010 erhielt zur zusätzlichen Vorsicht ebenfalls ein Update. Microsofts Cloud-Dienst Exchange Online war nicht betroffen.

Eine Notfallanweisung (Emergency Directive) ist eine Anordnung der CISA, die US-Bundesbehörden befolgen müssen; die erste Frist dieser Anweisung lief zwei Tage nach ihrer Veröffentlichung ab. In den Niederlanden durchsuchten die Freiwilligen von DIVD das Internet nach verwundbaren Servern und warnten deren Betreiber per E-Mail. Am 3. November 2021 nahm die CISA alle vier Lücken in die erste Ausgabe ihrer Liste ausgenutzter Schwachstellen auf.

Zwei Bewertungen für dieselbe Lücke

Die US-amerikanische National Vulnerability Database bewertet die Hauptlücke mit 9,8 von 10. Microsoft vergibt 9,1. Der Unterschied liegt in einem Detail: Microsoft geht davon aus, dass diese Lücke allein den Server nicht lahmlegen kann, und rechnet deshalb keine Folgen für die Verfügbarkeit ein.

Das Update vom 2. März 2021 behob laut Microsoft sieben Exchange-Lücken. Vier davon wurden bei den Angriffen genutzt, und diese vier meinen die meisten Berichte heute mit ProxyLogon, obwohl DEVCORE mit dem Namen streng genommen nur seine Kette aus zwei Lücken bezeichnete.