
Mit einfachen Mitteln mehrstufige Authentifizierung absichern
Hacker nutzen häufige Schwachstellen aus, um die Multi-Faktor-Authentifizierung zu umgehen. Dabei lassen sich mit relativ einfachen Lösungen solche Sicherheitsrisiken minimieren.
Mittlerweile haben viele Unternehmen verstanden, dass die Verwendung eines einstufigen Authentifizierungsmechanismus (Benutzername und Kennwort) in externen Portalen ein Sicherheitsrisiko darstellt. Ohne eine Richtlinie für starke Kennwörter wählen Benutzer oft, sei es aus Bequemlichkeit oder Unwissenheit, schwache oder alte Kennwörter. Das macht ihr Konto anfällig für Übergriffe. Die Einführung der Multi-Faktor-Authentifizierung (MFA) bietet eine zusätzliche Sicherheitsebene, um eine Kontoübernahme zu verhindern. Bei Verwendung dieses Mechanismus müssen Benutzer einen Benutzernamen/ein Kennwort und einen zweiten Faktor angeben, um sich erfolgreich authentifizieren zu können. Aber was sind die häufigsten Fallstricke, die Hacker nutzen, um MFA zu umgehen?
Wie Hacker Passwörter erraten
Die Secureworks Adversary Group (SwAG) ist ein Team von 90+ ethischen Elite-Hackern, die jährlich +1400 Engagements durchführen. Während ihrer Penetration Testing Engagements sind sie häufig in der Lage, die Passwörter von Konten zu erraten. Die Technik dahinter ist einfach: Der Gegner durchsucht das LinkedIn-Profil der Opferorganisation, sammelt den Vor- und Nachnamen aller Mitarbeiter und erstellt eine Benutzerliste.
Anschließend erstellen sie mithilfe der integrierten Microsoft365-Funktionen verschiedene Kombinationen aus Vor- und Nachname eines Mitarbeiters (max.mustermann, mmustermann, maxmustermann usw.), um das für die Authentifizierung verwendete Benutzernamenformat heraus zu bekommen.
Wenn Sie ein Benutzernamenformat kennen, können Sie eine Benutzernamenliste aller Mitarbeiter erstellen, die in der LinkedIn-Gruppe der Opferorganisation gefunden wurden. Mit diesem Wissen können Gegner ein Passwort-Spray durchführen, um Mitarbeiter mit schwachen aber gängigen Passwörtern wie „123456“, „passwort“, „hallo“ usw. zu identifizieren.
Anders als bei einem Brut-Force-Angriff, bei dem das Opfer bereits identifiziert ist und lediglich das Passwort erraten werden muss, wird mittels Passwort-Spray der passende User zu einem bestimmten Passwort ermittelt.
Leider ist es immer noch üblich, dass Mitarbeiter oder der Helpdesk bei der Auswahl von Passwörtern einfache Begriffe aus einem Wörterbuch verwenden, sodass Angreifer die Anmeldeinformationen leicht erraten können.
Wie Hacker MFA umgehen
Wenn ein simulierter Gegner Anmeldeinformationen durch Passwort-Spraying oder Phishing kompromittiert hat, stößt SwAG immer wieder auf einen bestimmten MFA-Mechanismus.
Das einfachste, aber gebräuchlichste MFA-Bypass-Szenario besteht darin, ein Konto zu finden, das sich noch nicht mit MFA registriert ist. Das kann von einem neuen Mitarbeiter sein, der sich gerade im Onboarding befindet, oder ein externer Dienstleister, der noch nicht auf sein Konto zugegriffen hat. Mit einer gültigen Kombination aus Benutzername und Passwort kann ein Hacker einfach sein eigenes Mobiltelefon registrieren und erhält so authentifizierten Zugriff.
Ein weiteres gängiges Szenario besteht darin, externe Systeme aufzuspüren, die nicht durch MFA geschützt sind. Beispielsweise kann ein externer Perimeter einer Organisation MFA für Microsoft365 und ihre SSL-VPN erzwingen. Aber was ist zum Beispiel mit einem alten Citrix-Portal, das nicht mehr von Mitarbeitern genutzt wird und seinerzeit beim Rollout von MFA vergessen wurde? Dieses System wäre ein Ziel der Wahl für einen Hacker, der Anmeldeinformationen kompromittiert hat, um im internen Netzwerk Fuß zu fassen.
MFA kommt in verschiedenen Varianten daher; Manchmal müssen Benutzer eine Push-Benachrichtigung akzeptieren, manchmal ist ein Einmal-Token erforderlich. Angreifer umgehen Push-Benachrichtigungen, indem Sie den Benutzer mürbe machen. Auch bekannt als Prompt-Bombing-Technik, sendet der Cyberkriminelle mehrere Push-Benachrichtigungen in kurzer Folge, bis der Benutzer genervt eine von ihnen akzeptiert, um nicht mehr gestört zu werden. Eine weitere MFA-Umgehungstechnik besteht darin, die Ortszeit des Opfers zu identifizieren und beispielsweise bis 9.00 Uhr morgens zu warten, um eine Push-Benachrichtigung zu senden. Es ist wahrscheinlicher, dass das Opfer diese Benachrichtigung als Teil seiner morgendlichen Anmelderoutine akzeptiert, anstatt einer Benachrichtigung, die mitten in der Nacht empfangen wird. Obwohl diese MFA-Umgehungstechniken simplifiziert sind, werden sie aktiv von Bedrohungsgruppen wie der Lapsus $ Threat Group verwendet, die in den letzten Monaten Microsoft, Okta und Nvidia gehackt hat.
One Time Token sind die sicherste Alternative, da ein Mitarbeiter das Token manuell in ein Webportal eingeben muss. Die Token werden von Mitarbeitern oft nicht als sensible Informationen betrachtet. Beispielsweise ist die Secureworks Adversary Group während der Red Team-Engagements oft erfolgreich darin ihre Opfer dazu zu bringen, ihr One Time Token preiszugeben, indem sie sich am Telefon als IT-Helpdesk ausgeben.
Richtlinien zum Härten
Organisationen sollten die folgenden Punkte der nicht abschließend vollständigen Liste in ihre Praktiken integrieren, um Kontoübernahmen zu verhindern:
- Erzwingen Sie eine Richtlinie für sichere Kennwörter (15 Zeichen, Groß-/Kleinschreibung und Sonderzeichen).
- Verweigern Sie Begriffe aus Wörterbüchern, um das Erraten von Kennwörtern zu verhindern.
- Überwachen Sie Authentifizierungsversuche, um Passwort-Spray-Angriffe zu erkennen.
- Überprüfen Sie die geschäftskritischen Anforderungen aller externen Assets gründlich.
- Wenn eine Authentifizierung erforderlich ist, erzwingen Sie MFA via Single Sign On.
- Beauftragen Sie Institutionen wie die Secureworks® Adversary Group um Schwachstellen in Ihren Verteidigungslinien aufzuspüren und potentielle Einfallsvektoren für Cyberkriminelle abzusichern.
IT-Sicherheit ist Unternehmenssicherheit
Cybersecurity ist heute mehr denn je der Schlüssel für eine erfolgreiche digitale Transformation und dient der Sicherung der eigenen Marke, was in turbulenten Zeiten einen nicht zu unterschätzenden Wettbewerbsvorteil für ein Unternehmen bedeutet kann.
Autor: Ben Jacob, Senior Consultant Solutions Architect
Fachartikel

ChatGPT bei der Arbeit nutzen? Nicht immer eine gute Idee

Das Aktualisieren von Software-Agenten als wichtige Praktik der Cyberhygiene auf MSP-Seite

Kosteneinsparungen und Optimierung der Cloud-Ressourcen in AWS

CVE-2023-23397: Der Benachrichtigungston, den Sie nicht hören wollen

Wie sich kleine und mittlere Unternehmen proaktiv gegen Ransomware-Angriffe wappnen
Studien

Studie zeigt 193 Millionen Malware-Angriffe auf Mobilgeräte von Verbrauchern im EMEA-Raum

2023 State of the Cloud Report

Trotz angespannter Wirtschaftslage: die Security-Budgets steigen, doch der IT-Fachkräftemangel bleibt größte Hürde bei Erreichung von Security-Zielen

BSI-Studie: Viele Software-Produkte für Onlineshops sind unsicher

Wie Cloud-Technologie die Versicherungsbranche revolutioniert
Whitepaper

Arctic Wolf Labs Threat Report: Deutlicher Anstieg der erfolgreichen Fälle von Business-E-Mail-Compromise

Aufkommende Trends in der externen Cyberabwehr

Cyber-Sicherheit für das Management – Handbuch erhöht Sicherheitsniveau von Unternehmen

Aktueller Datenschutzbericht: Risiko XXL am Horizont

Vertrauen in die Lieferkette durch Cyber-Resilienz aufbauen
Unter4Ohren

Optimierung der Cloud-Ressourcen und Kosteneinsparungen in AWS

DDoS – der stille Killer

Continuous Adaptive Trust – mehr Sicherheit und gleichzeitig weniger mühsame Interaktionen

Datenschutz und -kontrolle in jeder beliebigen Cloud bei gleichzeitiger Kostensenkung, Reduzierung der Komplexität, Verbesserung der Datenverfügbarkeit und Ausfallsicherheit
