News Crash-Dump: So gelangten Hacker an Microsofts Signaturschlüssel

[pseudopseudonym]

Das Problem ist halt bei Cloud das man nur einen Hacken muss, früher musste man zumindest noch bei jedem einzeln einbrechen.

Wannacry (war's doch damals, oder?) hat eindrucksvoll gezeigt, dass es keine Cloud braucht, um bei einer Lücke viele Akteure auf einmal am Sack zu haben.

 

[AlphaKaninchen]

@pseudopseudonym
Siehe den zweiten Teil über Monokultur in der IT...

 

[pseudopseudonym]

Haben die einfach auf gut Glück die Dumps analysiert?

Würde ich von ausgehen.

 

[Sebbl2k]

Hier sind die Wörter Monokultur, Cloud und Mensch gefallen...
Durch diese Zwangscloudisierungen wird irgendwann sehr vieles in diesen Monokulturen landen.. und diese Kulturen sind natürlich deutlich attraktiver als x-Milliarden Angriffsziele im Netz.. und irgendwo spielt immer der Faktor Mensch mit und ist natürlich die Schwachstelle schlechthin.
Das Paradies für diverse Akteure... und die Verantwortlichen sind so abgehoben, dass sie meinen, das Schild ist stark genug. Und eigentlich dient es nur der Profitoptimierung... großen "Mehrwert" sehe ich da nicht. Wir zerballern also nicht nur unsere biologische Umwelt, sondern aus Gier unsere technischen "Errungenschaften".... spannende Zukunft.. KI kann man auch noch in den Topf schmeißen..

Wie das passiert ist, ist eigentlich vollkommen egal... es wird immer wieder passieren.

 

[M@tze]

Schwieriger wird es auch dadurch, das Logs, Asserts und Debuggingwerkzeuge dann andere Fehlerursachen melden.

Ja, genau das ist oft (nicht immer) das Problem bei Race-Conditions. Alleine schon den Debugmode zu aktivieren oder das Logging anzuschmeissen kann dazu führen, dass diese nicht mehr auftritt. Wir hatten hier auch schon Bugreports von Kundenanlagen, die erstmal niemand nachvollziehen konnte, weil das bei uns im Test einfach nicht aufgetreten ist. Von daher würde ich auch nicht auf MS zeigen wollen, von wegen "solche Stümper".

 

[Caramon2]

So stümperhaft und unverantwortlich Microsoft mit dem Debakel umgegangen ist bzw umgeht weiß ich ehrlich gesagt nicht, ob ich ihnen die Story abkaufen soll.

Die Frage ist doch auch: Was ist generell von einem Unternehmen zu halten, dass dafür nicht mal sein eigenes Produkt nutzt?

Azure läuft m. W. auf Linux-Servern.

Ergänzung (8. September 2023)

Finde ich auch komisch. 2 Sicherheitsebenen sollten das (das ein Schlüssel in die Datei gelangt) verhindern und beide haben zufälligerweise genau dieses Mal nicht angeschlagen?!

Vielleicht haben sie das noch nie: Wer weiß wie viele Schlüssel die schon durchgelassen haben?

Jetzt ist vielleicht nur das erste Mal, dass es aufgefallen ist.

 

[Termy]

Was ist generell von einem Unternehmen zu halten, dass dafür nicht mal sein eigenes Produkt nutzt?

Ich würde es jetzt nicht als Negativpunkt ansehen, wenn ein Unternehmen das bessere Tool nutzt, statt dogmatisch an irgendwas eigenem fest zu halten

 

[flappes]

Klassischer Murphy`s Law.

Da kann etwas noch so toll abgesichert sein oder noch so unwahrscheinlich.

 

[dh9]

Die Frage ist doch auch: Was ist generell von einem Unternehmen zu halten, dass dafür nicht mal sein eigenes Produkt nutzt?

Azure läuft m. W. auf Linux-Servern.

Wenn Azure auf Windows laufen wuerde, waere es schon längst tot gehackt und der Mehrverbrauch an Ressourcen waere sicher auch enorm. Linux ist hierbei eine sehr gute Wahl von MS.

 

[M@tze]

Die Frage ist doch auch: Was ist generell von einem Unternehmen zu halten, dass dafür nicht mal sein eigenes Produkt nutzt?

Azure läuft m. W. auf Linux-Servern.

Wie man es macht, ist es verkehrt. Wenn MS verzweifelt auf Windows setzen würde, obwohl Linux besser wäre, wäre es auch nicht recht.

Warum sollte MS denn nicht Linux als Unterbau benutzen? So gut wie nichts, was Windows mitbringt, hätte dabei irgendeinen Benefit. Linux ist verbreitet, schlank und dafür gut geeignet.

Da kann etwas noch so toll abgesichert sein oder noch so unwahrscheinlich.

Yep, erster Satz in jedem Security Kurs:

"Es gibt keine 100%ige Sicherheit. Wer Ihnen das erzählt, will ihnen nur etwas verkaufen oder hat schlichtweg keine Ahnung. Jedes System kann kompromittiert werden"

 

[xexex]

Azure läuft m. W. auf Linux-Servern.

Azure läuft auf verschiedenen Systemen, meines Wissens verwendet man Linux Komponenten für die virtuellen Switche. Grundsätzlich lautet die Aussage von Microsoft:

Azure is Microsoft’s cloud computing offering which provides IaaS (infra as a service) virtual machines (VM), PaaS (platform as a service) containers and many other SaaS services (e.g., Azure Storge, Networking, etc.). Azure, being one of the largest cloud service providers, hosts millions of customer virtual machines (VMs) in our data centers. The operating system that runs on these hosts is a modified version of Windows called Cloud Host.
https://techcommunity.microsoft.com...date-with-hypervisor-hot-restart/ba-p/3918850

Nähere Details zum Azure Host OS gibt es hier:

As I mentioned, the goal of Azure Host OS is to be very good at managing the lifecycle of VMs. This means that Windows (aka Azure Host OS) doesn’t need a whole lot of functionality typically associated with Windows to perform this functionality. Hence, we created a specially crafted console only (no GUI, some also call it headless) edition of Windows called Cloud Host.
https://techcommunity.microsoft.com...rm-blog/azure-host-os-cloud-host/ba-p/3709528

Logischerweise besteht Azure aber nicht nur auf VMs, es wird von virtuellen Netzwerken, Firewalls, Proxys über Docker und Kubernetes ein volles Programm geboten und dafür jeweils angepasste Hosts verwendet.

 

[Unnu]

Ich halte mal folgende Aussage des Post-Mortem für die Nachwelt fest, weil sie so schön ist:

"Controls for Microsoft employee access to production infrastructure include background checks, dedicated accounts, secure access workstations, and multi-factor authentication using hardware token devices. Controls in this environment also prevent the use of email, conferencing, web research and other collaboration tools which can lead to common account compromise vectors such as malware infections or phishing, as well as restricting access to systems and data using Just in Time and Just Enough Access policies.“

Ich übersetze den fett kursiven Text:

Da wir unserer eigenen Software, namentlich Exchange (email), Teams (conferencing), Edge (web research), sowie Sharepoint (other collaboration tools) nicht vertrauen, da diese übliche Vektoren für Kompromittierung darstellen, haben wir diese auch nicht in unserer Produktionsumgebung."

Ich schmeiß mich weg! 🤣 😄👍
Anders formuliert: "Sämtliche Firmen, die keine zwei komplett getrennte Netze mit Microsoftsoftware zur Produktion nutzt, ist selber dran schuld, wenn sie geknackt werden."
Ja das steht da nicht, liest man allerdings zwischen den Zeilen.🤦‍♂️

Sowas läuft unter Bankrotterklärung und / oder Offenbarungseid.

Ergänzung (8. September 2023)

Wenn man nicht gerade die wichtigen Informationen komplett von jedem Internetzugriff fern hält

Das ist ja genau das, was sie versucht und nicht geschafft haben!
Aber das ist ja gar nicht mal das schlimme daran.

Ergänzung (8. September 2023)

Ich find's zumindest gut.

Was genau? Das Post-Mortem oder den GAU davor?

 

[M@tze]

Da wir unserer eigenen Software, namentlich Exchange (email), Teams (conferencing), Edge (web research), sowie Sharepoint (other collaboration tools) nicht vertrauen, da diese übliche Vektoren für Kompromittierung darstellen, haben wir diese auch nicht in unserer Produktionsumgebung."

Na ja... 😏

Du glaubst jetzt nicht wirklich, dass das Problem mit Konkurrenzsoftware nicht bestehen würde, oder? Wenn ich ein System oder eine Umgebung sicherer machen will (hardening), lasse ich soviel weg, wie nur möglich ist. Was nicht da ist, kann nicht kompromittiert werden - ganz einfach. Wenn ich einen Webserver unter Linux betreibe, ist da auch keine GUI/Compiler/usw. drauf. Je weniger Pakete, je weniger Patching und weniger mögliche Schwachstellen.

Wozu benötigt man denn bitte in einer Produktionsumgebung zBsp. Teams, Edge oder Sharepoint?

 

[k0ntr]

Alternativen gibt es genug.

Nur muss es immer der Marketing Hype sein?
Alles in die Cloud, Corona, Krieg, Frame Generation, DLSS, Raytracing, APPLE, Elektro Autos, ...

na deshalb frage ich nach, welche alternative es zu azure gibt, das auch so gut funktioniert. wir arbeiten mit 1000 Mitarbeitern über Azure und das macht es wesentlich einfacher, als noch den ganzen server kram hardwareseitig selber zu erledigen und inhouse kapazitäten aufzubauen

 

[AlphaKaninchen]

Wozu benötigt man denn bitte in einer Produktionsumgebung zBsp. Teams, Edge oder Sharepoint?

In einer Produktions Umgebung sollte grundsätzlich gelten so wenig wie nötig. Sowohl bezüglich Rechten von Usern als auch installierter Software usw

Ergänzung (8. September 2023)

Azure Host OS

Dürfte ähnlich Hyper V Server sein. Falls mal jemand ausprobieren möchte wie sehr Windows auf das nötigste Reduziert sein kann.

 

[Unnu]

Erleuchte uns doch wo z.B. ein Unternehmen wie Daimler aufsetzen sollte 🤔

Ernsthaft?
Wenn sie klug sind, dann nutzen die mehrere Hyperscaler mit entsprechenden SLAs, Pönalen und vor allem sauberen Prozessen. So setzt Daimler das hoffentlich auf.
Und wenn sie ihre Cloud selber machen, dann vernünftig mit Alpine oder Garden als Docker Template und dann gehen sie von dort weiter.

Glaubst Du allen ernstes, dass Azure Windows ist?
Das ist ein Linux-Subsystem mit MS-touch. Und blöderweise sind da dann obendrein noch AD, Exchange und Office mit drin. .... Einschlag.

Du glaubst jetzt nicht wirklich, dass das Problem mit Konkurrenzsoftware nicht bestehen würde, oder?

Nö. Nicht unbedingt, abgesehen davon, dass jegliche Konkurrenz weniger im Fadenkreuz steht als die genannten Tools.

Die Aussage ist insofern bemerkenswert, als dass sie ganz klar zu verstehen geben, dass jeder der nur eine MS-Umgebung betreibt offensichtlich doof ist. (Und natürlich haben sie recht mit dieser Aussage, das ist jedoch eine andere Diskussion.)
Und jetzt zeige mir mal eine Firma, sagen wir mal so bis 10k Personal, die konsequent ihre IT trennt. Genau so wie MS das versucht hat ... und leider, leider an Details scheiterte.

Ergänzung (8. September 2023)

Wozu benötigt man denn bitte in einer Produktionsumgebung zBsp. Teams, Edge oder Sharepoint?

Da gebe ich Dir ja recht, nur setz' das mal durch in den gewachsenen Strukturen!
Scheiße noch eins, wir sind erst im März einen WIN98 "Produktivserver" los geworden!
Und das auch nur eher zufällig.

Ergänzung (8. September 2023)

na deshalb frage ich nach, welche alternative es zu azure gibt, das auch so gut funktioniert.

Alle anderen gleich großen Hyperscaler.
... Vorausgesetzt (!), man hat halt nicht seine gesamte IT auf MS ausgerichtet. Dann ist man sowieso Geisel und wird ausgepresst.

Ergänzung (8. September 2023)

Die Frage ist doch auch: Was ist generell von einem Unternehmen zu halten, dass dafür nicht mal sein eigenes Produkt nutzt?

Eigentlich nicht, die können WIN nicht für die Cloud nutzen. Dafür ist es nicht geschaffen.
Die müssen den Unterbau Linux verwenden.

Ergänzung (8. September 2023)

Haben die einfach auf gut Glück die Dumps analysiert?

Crashdumps auf Goldnuggets zu durchforsten ist Standardvorgehen für Cracker, denn die wissen, dass diesen Dateien meist nur sehr wenig aufmerksamkeit geschenkt wird.

So ähnlich wie vor vielen Monden den Logfiles. ... Das hat sich ja mittlerweile (zum Glück) geändert.

Ergänzung (8. September 2023)

Seriöse Unternehmen setzen keine Microsoft-Produkte für essentielle Dinge ein.

LOL. Ich applaudiere. Und bemerke gleichzeitig, dass es offensichtlich keine seriösen Unternehmen auf einer globalen Ebene gibt.
... Bis auf die in Russland, denn die dürfen ja kein Windows mehr einsetzen, dank Embargo. Die Armen.

Irgendwie auch doof für die Amis dann, wenn die Russen demnächst ihr eigenes OS betreiben, dass nicht emrh via 08/15 und Redmonds Hilfe geknackt werden kann. Schade eigentlich.

 

[CastorTransport]

Ich fasse mal zusammen:

• die chinesischen Angreifer hatten vorab Zugriff auf genau die richtigen Systeme bei Microsoft
• die wussten, wo sie welche Dateien finden können
• der Schlüssel wurde von internen Sicherheitsmechanismen nicht erkannt und nicht aus dem Dump entfernt
• die konnten den Dump unbemerkt abziehen
• anschließend analysierten und in der wüsten Folge von Hex-zahlen den privaten MSA-Schlüssel isolieren und wussten um dessen Fähigkeiten
• der war zwar abgelaufen, aber funktionierte trotzdem noch
• und obwohl er nur für private Konten gedacht war, auch für Business-Konten verwendet werden konnte
• also obendrein quasi einen Masterkey (der eigentlich gar nicht existieren sollte) darstellt

Nette Geschichte, aber das sind ein bissel zu viele unglückliche "Zufälle" für meinen Geschmack ...

Deutlich wahrscheinlicher ist, dass es sich um einen NSA-Masterschlüssel handelt. Und da die NSA nicht wieder mit den Fingern in der Keksdose erwischt werden will oder zugeben möchte, dass denen das Teil abgezogen wurde, gibt es halt nun diese absolut glaubwürdige Geschichte 😅


Um ehrlich zu sein, müsste man die gesamte Azure-Infrastruktur als kompromittiert ansehen. Ähnlich wie damals mit den Hafnium-Hacks bei den Exchange-Servern. Bin gespannt wie Microsoft DAS prüfen und das Vertrauen wiederherstellen möchte.

Die Reihenfolge stimmt bei dir nicht, aber egal. Im Internet sind alle Experten und wissen es besser als die echten Experten.


Schlimm was hier manche für einen Unsinn von sich geben.

 

[Nowareeng]

Frage eines Laien : Wenn MS es nicht schafft , wie sicher sind unsere elektr. Zahlungsmethoden ?

 

[Azdak]

Da wir unserer eigenen Software, namentlich Exchange (email), Teams (conferencing), Edge (web research), sowie Sharepoint (other collaboration tools) nicht vertrauen, da diese übliche Vektoren für Kompromittierung darstellen, haben wir diese auch nicht in unserer Produktionsumgebung."

Ich schmeiß mich weg! 🤣 😄👍
Anders formuliert: "Sämtliche Firmen, die keine zwei komplett getrennte Netze mit Microsoftsoftware zur Produktion nutzt, ist selber dran schuld, wenn sie geknackt werden."

Mit verlaub, aber das ist grober Unfug und reiner Populismus.
Ich kenne keine professionelle Umgebung, in der nicht mit einer Risikoanalyse begonnen wird und darauf hin die Sicherheitsmaßnahmen ergriffen werden. In Hochsicherheitsumgebungen (Umgebungen mit einem hohen Risikoniveau) sind Air gapped Systeme oder Enklaven ohne Internetzugang keine Seltenheit.

 

[AlphaKaninchen]

wie sicher sind unsere elektr. Zahlungsmethoden

Der Key ist im Chip der Karte, und sollte diese nicht verlassen... Mit Mobilem Bezahlen wird es intresanter, aber auch da sollte der Key die TrustZone / Secure Enclave/ Titan etc nicht verlassen.
Das größere Problem in der Praxis ist das man einer Karte sagen kann das es eine mit Unterschrift bestätigte Zahlung ist und diese dann die Zahlung ohne PIN autorisiert, gibt sicher auch noch andere Methoden...