Stoppen von bösartigen Web-Shells: Lektionen aus dem Apache AXIS-Exploit

In letzter Zeit ist eine Zunahme von Angriffen zu beobachten, die speziell auf Apache-AXIS-Server abzielen. Solche Aktivitäten sollten nicht ignoriert werden, und es gibt einige bewährte Methoden, mit denen sich die Sicherheitsmaßnahmen verbessern lassen.

In diesem Leitfaden werden wir den tatsächlichen Ablauf der Angriffe erläutern, einige häufige Risiken im Zusammenhang mit der Sicherheitslücke aufzeigen und hilfreiche Empfehlungen zum Schutz vor solchen Risiken geben.

So funktioniert dieser Angriff: Eine Schritt-für-Schritt-Analyse

Bevor wir auf den eigentlichen Angriff eingehen, wollen wir zunächst ein Verständnis für Apache AXIS schaffen. Dabei handelt es sich um ein äußerst beliebtes Open-Source-System, das auf dem Service-Framework basiert und für die Bereitstellung bzw. Erstellung von Webservice-Anwendungen erforderlich ist. Trotz aller Vorteile der Service-Engine ist sie zum Ziel einiger Hacker geworden.

Im Sommer 2024 gab es Berichte, wonach Hacker mit gängigen Admin-Passwörtern relativ leicht Zugriff auf die Server erlangen konnten. Sobald sich der Hacker Zugriff verschafft hat, ist der nächste Schritt das Hochladen einer bösartigen Web-Shell, die den Zugriff auf SSH und FRP für die weitere Kommunikation gewährleistet. Über mehrere Monate hinweg führten Hacker verschiedene Operationen mit SMB, LDAP und lokalen Konfigurationsdateien durch. Dies führte zu Versuchen schwerwiegenderer Angriffe auf die Windows-Umgebung und darüber hinaus. Die Sicherheitsmechanismen trugen dazu bei, schwerwiegende Folgen zu verhindern, dennoch kam es zu unbefugten Zugriffen.  

Ermittlung der am stärksten gefährdeten Unternehmen

Als am stärksten gefährdet gelten folgende Unternehmen:

• Probleme mit den Sicherheitsprotokollen. Unternehmen, die keinen Wert auf regelmäßige Sicherheitsüberwachung oder sichere Passwörter legen, sind den größten Risiken ausgesetzt.
• Einsatz veralteter Systeme. Unternehmen, die nach wie vor veraltete Server einsetzen, können eine höhere Systemanfälligkeit feststellen.
• Apache AXIS. Solche Angriffe richten sich häufig gegen die Nutzer von Apache AXIS.

Shadow-IT: Die verborgenen Gefahren aufdecken

Die verborgenen Gefahren und erhöhten Schwachstellen liegen in der Shadow-IT. Die Nutzung nicht genehmigter Apps oder Software ohne Benachrichtigung des Arbeitgebers kann eine riskante Entscheidung sein. Sicherlich gibt es einige hilfreiche Tools, die die Arbeitsproduktivität erheblich verbessern, bestimmte Aufgaben automatisieren und einfach praktisch sind, doch die meisten dieser Apps sollten von der IT-Abteilung des Unternehmens genehmigt werden. Andernfalls steigen die Sicherheitsrisiken und die Wahrscheinlichkeit von Hackerangriffen erheblich – selbst bei der Nutzung lizenzierter Software –, und die Risiken sind noch größer, wenn „Shadow IT“ eingesetzt wird, da diese in der Regel Sicherheitskontrollen umgeht.

Durch den Einsatz von „Shadow IT“ entstehen Einfallstore, über die selbst auf das sicherste System zugegriffen werden kann. Deshalb ist eine gut koordinierte Sicherheit innerhalb des Unternehmens für jede Art von Geschäftstätigkeit entscheidend.  

Wichtige Erkenntnisse und praktische Strategien zur Minderung dieser Bedrohung

Ein proaktiver Ansatz gegenüber den meisten Bedrohungen ist notwendig und sollte entsprechend geplant werden. Als Erstes sollten Sie darauf achten, ob Ihr System veraltet ist und ob eine ständige Überwachung aktiviert ist. Wenn keine Maßnahmen hinsichtlich dieser Schwachstellen ergriffen werden, kann Ihr System anfälliger für Angriffsrisiken werden. Um den Schutz Ihres Systems zu verbessern, wird empfohlen, umfassende Maßnahmen zu ergreifen, die auch die Altsysteme und alle Netzwerkgeräte einbeziehen. Ein weiterer wichtiger Faktor, den Sie überprüfen sollten, ist die Verwendung schwacher Anmeldedaten. Versuchen Sie, ein sicheres Passwort zu erstellen und es regelmäßig zu ändern, um das Risiko eines Systemzugriffs zu verringern. Hacker gehen bei ihrer Vorgehensweise immer raffinierter vor, daher ist es entscheidend, sich dieser Risiken bewusst zu sein.

Außerdem sollte, wie bereits erörtert, die Nutzung von Shadow-IT regelmäßig überwacht werden, da solche Anwendungen die Sicherheit erheblich beeinträchtigen können. Daher ist es wichtig zu überprüfen, ob Ihre Mitarbeiter solche Tools verwenden, und Mechanismen zum Umgang mit möglichen Cyber-Bedrohungen zu implementieren.

Hier sind einige Empfehlungen, die speziell für Administratoren von Apache-AXIS-Servern wichtig sind:

• Sensibilisierung aller Teammitglieder für Online-Bedrohungen. Es ist entscheidend, über Shadow-IT-Tools und deren Auswirkungen auf die Sicherheit im Unternehmen zu informieren und regelmäßig Schulungen dazu durchzuführen. Alle Mitarbeiter sollten über ein einheitliches Verständnis der IT-Richtlinien und deren Auswirkungen verfügen.
• Updates und Audits. Es sollten regelmäßige Überprüfungen der Systeme durchgeführt werden, um die meisten Sicherheitsrisiken zu minimieren. Zudem ist es entscheidend, alle Anwendungen regelmäßig zu aktualisieren, um weitere mögliche Angriffspunkte auszuschließen.
• Überwachung des Systems. Alle Segmente des Netzwerks, einschließlich derjenigen mit niedriger Priorität, sollten regelmäßig überwacht werden.
• Authentifizierung. Um das Sicherheitsniveau noch weiter zu verbessern, ist der Einsatz einer Multi-Faktor-Authentifizierung erforderlich.
• Segmentierung des Netzwerks. Um die Möglichkeit von Schäden im Falle eines Hackerangriffs zu minimieren, ist es wichtig, sensible Daten durch Segmentierung zu isolieren. Eine weitere Maßnahme, die die Auswirkungen erheblich mindern kann, ist die Erstellung eines Reaktionsplans für den Fall eines Vorfalls.

Abschließende Gedanken: Stärkung Ihrer Apache-Server gegen neue Risiken

Cyberbedrohungen werden immer vielfältiger und ausgefeilter, insbesondere wenn es um Apache-Server geht. Hacker versuchen, alle möglichen Schwachstellen auszunutzen, und manche Angriffe gelten als erfolgreich. Um die meisten dieser Bedrohungen auszuschließen, ist ein komplexer Ansatz erforderlich. Unternehmen sollten Sicherheitsmaßnahmen integrieren, regelmäßige Sicherheitsaudits durchführen und eine kontinuierliche Überwachung sicherstellen. Ein proaktiver Ansatz wird die meisten Versuche böswilliger Aktivitäten definitiv verhindern.