Microsoft warnt erneut vor Angriffen auf Zerologon-Lücke

Microsoft hat über das Microsoft Security Response Center eine weitere Warnung vor Angriffen auf das Windowsprotokoll Netlogon ausgegeben. Die auch als Zerologon bekannte Schwachstelle erlaubt es, die Anmeldedaten für eine Domain zu stehlen und somit die vollständige Kontrolle über die Domain zu übernehmen.

„Microsoft hat eine kleine Anzahl von Berichten von Kunden und anderen Personen über fortgesetzte Aktivitäten erhalten, die eine Schwachstelle im Netlogon-Protokoll (CVE-2020-1472) ausnutzen, die zuvor in Sicherheitsupdates ab dem 11. August 2020 behoben wurde“, schreibt Aanchal Gupta, Vice President Engineering des Microsoft Security Response Center.

Betroffen sind alle Versionen von Microsofts Server-Betriebssystem, angefangen bei Windows Server 2008 R2 bis hin zu Windows Server 2019 und Windows Server Version 2004. Gupta fordert Administratoren dieser Systeme auf, den am 11. August veröffentlichten Patch umgehend zu installieren. „Die Bereitstellung des Sicherheitsupdates vom 11. August 2020 oder einer späteren Version für jeden Domänencontroller ist der kritischste erste Schritt zur Behebung dieser Schwachstelle.“

Darüber hinaus sollten die anfälligen Systeme anhand ihrer Event Logs auf möglicherweise verdächtige Verbindungen überwacht werden. Dort lassen sich laut Microsoft auch Verbindungsanfragen von nicht regelkonformen Geräten aufspüren. Details dazu hält Microsoft in einem aktualisierten Support-Artikel bereit.

Darin weist das Unternehmen auch erneut darauf hin, dass im Februar 2021 ein weiteres Update für die Netlogon-Lücke folgt. Es wird den sogenannten Enforcement Mode, der die Sicherheitslücke schließt, standardmäßig auf allen Windows-Domänencontrollern aktivieren und alle verdächtigen Verbindungen von nicht regelkonformen Geräten blockieren. Auch soll es ab dann nicht mehr möglich sein, den Enforcement-Modus abzuschalten.

Hacker setzen die Schwachstelle derzeit unter anderem für Angriffe auf Regierungsnetzwerke ein. Mitte Oktober wiesen bereits das FBI und die US-Cybersicherheitsbehörde CISA auf das Problem hin. Hacker kombinieren demnach die Netlogon-Lücke mit einer Schwachstelle in einer VPN-Lösung von Fortinet, um in Netzwerke einzudringen.

Microsoft meldete bereits Ende September aktive Attacken auf Zerologon. Sicherheitsexperten hatten allerdings mit dieser Entwicklung gerechnet, das mehr Beispielcode für einen Exploit veröffentlicht wurde. Der niederländische Anbieter Secura BC sah seine Einschätzung bestätigt, wonach Zerologon ohne großen Aufwand auch von wenig erfahrenen Cyberkriminellen ausgenutzt werden kann.

Im August hatte Microsoft die Anfälligkeit für alle betroffenen Betriebssysteme als kritisch eingestuft. Eine Ausnutzung für Angriffe hielt das Unternehmen zu dem Zeitpunkt jedoch für „wenig wahrscheinlich“.