US-amerikanische Agentur für nukleare Sicherheit in jüngstem Microsoft-Hack kompromittiert

Die National Nuclear Security Administration, die für die Gestaltung und Instandhaltung des US-amerikanischen Atomwaffenarsenals zuständig ist, gehörte zu denjenigen, deren Systeme im Rahmen des jüngsten Microsoft-SharePoint-Hacks kompromittiert wurden.

Eine anonyme Quelle der NNSA sagte aus, dass bei dem NNSA-Hack anscheinend keine geheimen oder sensiblen Daten gestohlen wurden. Auf Anfrage zum Vorfall verwies die NNSA alle Anfragen an das Energieministerium, das die Verwaltung im Rahmen seiner weiteren Zuständigkeiten beaufsichtigt.

„Am Freitag, dem 18. Juli, begann die Ausnutzung einer Zero-Day-Schwachstelle in Microsoft SharePoint, die das Energieministerium betraf“, sagte ein Sprecher der Agentur. 

„Das Ministerium wurde aufgrund der weit verbreiteten Nutzung der Microsoft M365-Cloud und fähiger Cybersicherheitssysteme nur minimal beeinträchtigt. Eine kleine Anzahl von Systemen war betroffen. Alle betroffenen Systeme werden wiederhergestellt.“

Die NNSA führt eine breite Palette von Aufgaben außerhalb des Managements von Nuklearwaffen aus. Sie baut marine Reaktoren für die U-Boot-Flotte der Navy, reagiert auf Notfälle im In- und Ausland, hilft beim sicheren Transport von Nuklearwaffen durch die Vereinigten Staaten und unterstützt die Terrorismusbekämpfung.

Dies war nicht das erste Mal, dass Hacker über ein Drittanbieter-Tool in NNSA-verknüpfte Netzwerke eingedrungen waren. Im Jahr 2020 war die Agentur Ziel eines Angriffs auf SolarWinds Corp., dessen Software für das Netzwerkmanagement verwendet wird. Damals sagte das Energieministerium, die Malware sei „auf die Unternehmensnetzwerke beschränkt geblieben.“

Microsoft macht staatlich geförderte Hacker aus China verantwortlich

Der Hack nutzte Schwachstellen in der SharePoint-Plattform aus und traf Regierungen und Unternehmen weltweit. In einigen Fällen stahlen Angreifer Anmeldeinformationen wie Benutzernamen und Passwörter sowie Tokens und Hash-Codes, so ein früherer Bloomberg-Bericht.

Über das Energieministerium hinaus erstreckte sich der Hack auf Systeme nationaler Regierungen im Nahen Osten und in der EU sowie auf mehrere US-Behörden, darunter das Bildungsministerium, die Generalversammlung von Rhode Island und das Finanzamt von Florida.

Ermittler sagen, dass der volle Umfang der Intrusion noch ermittelt wird. Die Softwarefehler betreffen Organisationen, die SharePoint lokal statt über den Microsoft-Cloud-Dienst betreiben, wodurch lokale Installationen besonders gefährdet sind.

In einem Blogbeitrag vom Dienstag nannte Microsoft zwei Hacking-Teams, die mit China in Verbindung stehen. Dazu gehören Violet Typhoon und Linen Typhoon. Der Beitrag erwähnte eine dritte Gruppe namens Storm-2603, die ähnliche Taktiken zur Kompromittierung von Systemen einsetzte.

Am Montag sagte Charles Carmakal, Chief Technology Officer bei Mandiant, einem Google-eigenen Cybersicherheitsunternehmen, in einem LinkedIn-Beitrag: „Wir schätzen, dass mindestens einer der für die frühe Ausnutzung Verantwortlichen ein bedrohlicher Akteur mit chinesischen Bezügen ist.“

Die US-amerikanische Agentur für Cybersicherheit und kritische Infrastruktur, CISA, bestätigte am Sonntag, dass sie „von aktiver Ausnutzung“ der SharePoint-Schwachstelle wisse. Microsoft reagierte, indem es Patches für lokale Versionen von SharePoint herausgab und dann am Montag einen dritten Fix veröffentlichte.

SharePoint ist ein Kernbestandteil von Microsofts Office-Suite. Es dient als Kollaborations-Hub und ermöglicht Mitarbeitern innerhalb von Organisationen den Zugriff auf gemeinsam genutzte Dateien und Dokumente über ein zentrales Portal.

Microsoft war in der Vergangenheit von chinesischen Hacker-Teams angegriffen worden

Letztes Jahr erklärte der Chief Executive Officer von Microsoft, Satya Nadella, Cybersicherheit zur obersten Priorität des Unternehmens, nachdem ein Regierungsbericht die Reaktion des Unternehmens auf einen chinesischen Hack von E-Mail-Konten von Beamten scharf kritisiert hatte. 

Anfang dieses Monats teilte Microsoft Kunden mit, dass es künftig nicht mehr auf chinesische Ingenieure für Cloud-Dienste zurückgreifen werde, die dem Pentagon bereitgestellt werden, nach Medienberichten, die darauf hindeuteten, dass die Einrichtung Angriffe auf Verteidigungssysteme der USA ermöglicht haben könnte.

Im Jahr 2021 nutzte eine weitere Gruppe namens Hafnium, die mit China in Verbindung steht, eine separate Schwachstelle in der Microsoft Exchange Server-Software aus, um in Netzwerke von Organisationen weltweit einzudringen.

In einer an Reporter per E-Mail gesendeten Erklärung sagte die chinesische Botschaft in Washington, Peking lehne „alle Formen von Cyberangriffen“ ab und warne vor „Verleumdungen ohne solide Beweise.“

Sicherheitsforscher entdeckten die Schwachstelle erstmals im Mai während eines Hacking-Wettbewerbs in Berlin, der von Trend Micro organisiert wurde. Die Veranstaltung bot Geldpreise für diejenigen, die unentdeckte Softwarefehler finden konnten. Der Wettbewerb umfasste einen Preis von 100.000 US-Dollar für Zero-Day-Exploits, die auf SharePoint abzielten, was zeigt, wie hoch die Einsätze bei diesen versteckten Fehlern sein können.