ProxyLogon: Die Exchange-Lücken, die Mailserver öffneten

Am 2. März 2021 veröffentlichte Microsoft Notfall-Updates für Exchange Server. Viele Organisationen betreiben diese Mailserver-Software auf eigenen Rechnern. Die Updates schlossen vier Sicherheitslücken, die Angreifer da schon seit zwei Monaten ausnutzten. Ohne Passwort konnten sie Postfächer lesen und den Server übernehmen. Sobald die Lücken öffentlich waren, schlossen sich viele weitere Gruppen den Angriffen an.

So funktionierte der Angriff

Exchange hat ein Frontend, das Anfragen aus dem Internet entgegennimmt und an die Dienste dahinter weiterleitet. Die Hauptlücke, CVE-2021-26855, ist eine Server-Side Request Forgery, also eine Anfragefälschung auf dem Server. Ein nicht angemeldeter Angreifer sendet eine präparierte Anfrage. Das Frontend leitet sie weiter, als hätte der Exchange-Server selbst gefragt. Das allein reichte, um Postfächer zu lesen.

Mit diesem Zugang nutzte der Angreifer eine zweite Lücke, CVE-2021-27065 oder CVE-2021-26858, um eine Datei seiner Wahl auf den Server zu schreiben. Diese Datei war eine Webshell, eine kleine Webseite, die jeden Befehl des Angreifers ausführt. Eine dritte Lücke, CVE-2021-26857, ließ Angreifer Code als SYSTEM ausführen, also mit den höchsten Rechten unter Windows.

Das taiwanische Sicherheitsunternehmen DEVCORE entdeckte die erste Lücke am 10. Dezember 2020. Am 5. Januar 2021 meldete es Microsoft eine Kette aus zwei Lücken, die es ProxyLogon nannte. Doch die Angriffe hatten schon zwei Tage früher begonnen, am 3. Januar, wie das Sicherheitsunternehmen Volexity herausfand. Volexity und das Unternehmen Dubex meldeten Teile der Kette, die sie bei Angriffen beobachtet hatten. Microsoft schrieb die erste Angriffswelle einer Gruppe zu, die es HAFNIUM nennt. Nach Microsofts Einschätzung wird sie staatlich unterstützt und operiert von China aus. Diese Angreifer nutzten alle vier Lücken.

Reichweite und Schaden

Am 1. März 2021, einen Tag vor dem Fix, zählte das Sicherheitsunternehmen RiskIQ laut Microsoft fast 400.000 aus dem Internet erreichbare Exchange-Server. Das ist die Zahl der gefährdeten Server, nicht die der gehackten. Am 9. März waren noch etwas mehr als 100.000 verwundbar. Am 12. März fehlte das Update noch auf etwa 82.000.

Keine Quelle nennt die Gesamtzahl der Server, in die Angreifer eingedrungen sind. Das Sicherheitsunternehmen ESET fand bis zum 10. März 2021 Webshells auf mehr als 5.000 Mailservern in über 115 Ländern. Diese Zahlen stammen aus ESETs eigenen Produkten und zeigen deshalb nur einen Teil des Bildes. ESET zählte mehr als zehn verschiedene Angreifergruppen, die meisten davon sogenannte APT-Gruppen, also Teams, die ihre Ziele über lange Zeit ausspionieren.

Nach der Veröffentlichung zogen auch Kriminelle nach. Bis zum 25. März fand Microsoft auf rund 1.500 Systemen Webshells der Bande hinter der Ransomware DoejoCrypt. Diese Schadsoftware verschlüsselt Dateien und fordert Lösegeld. Nicht auf allen Systemen kam es so weit, dass Dateien verschlüsselt wurden. Eine dokumentierte Gesamtzahl für den Schaden oder die gestohlenen Postfächer gibt es nicht.

Fix und Reaktion

Ursprünglich wollte Microsoft den Fix am regulären monatlichen Patchday, dem 9. März, ausliefern. Stattdessen veröffentlichte das Unternehmen die Updates eine Woche früher. Sie gelten für Exchange Server 2013, 2016 und 2019. Vorsorglich erhielt auch Exchange Server 2010 ein Update. Microsofts Cloud-Dienst Exchange Online war nicht betroffen.

Eine Notfallanweisung (Emergency Directive) ist eine Anordnung der CISA, die US-Bundesbehörden befolgen müssen. Die erste Frist dieser Anweisung lief zwei Tage nach ihrer Veröffentlichung ab. In den Niederlanden durchsuchten die Freiwilligen von DIVD das Internet nach verwundbaren Servern und warnten deren Betreiber per E-Mail. Am 3. November 2021 nahm die CISA alle vier Lücken in die erste Ausgabe ihrer Liste ausgenutzter Schwachstellen auf.

Zwei Bewertungen für dieselbe Lücke

Die US-amerikanische National Vulnerability Database bewertet die Hauptlücke mit 9,8 von 10, Microsoft mit 9,1. Microsoft geht davon aus, dass diese Lücke allein den Server nicht lahmlegen kann. Deshalb rechnet das Unternehmen keine Folgen für die Verfügbarkeit ein.

Das Update vom 2. März 2021 behob laut Microsoft sieben Exchange-Lücken. Vier davon wurden bei den Angriffen genutzt. Diese vier meinen die meisten Berichte heute mit ProxyLogon. Streng genommen bezeichnete DEVCORE mit dem Namen aber nur seine Kette aus zwei Lücken.