Stehen wir vor einem neuen WannaCry?

Sie erinnern sich sicher an den Cyberangriff namens WannaCry im Jahr 2017: den Angriff, der in mehr als 150 Ländern über 200.000 Computer infizierte.

Laut Acronis kostete der Angriff, der allein in Großbritannien Schäden von mehr als 92 Millionen Pfund verursachte, weltweit rund 6 Milliarden Pfund.

WannaCry, eine Ransomware (Erpressungssoftware), gelangt meist über schädliche E-Mails auf die Zielsysteme. Diesen E-Mails wird ein Dokument oder Link angehängt, und der Nutzer wird aufgefordert, es zu öffnen. Tut er das, wird das Programm im Dokument oder Link aktiviert. Dieses Programm sucht dann auf dem Computer des Nutzers oder auf anderen Geräten im Netzwerk nach Schwachstellen.

Findet die Schadsoftware eine ausnutzbare Schwachstelle, nutzt sie diese sofort aus und richtet eine Hintertür zwischen dem Hacker, der sie programmiert hat, und dem infizierten Computer ein. Über diese Hintertür kann der Hacker Daten aus dem System stehlen, das System verschlüsseln und unbrauchbar machen oder beides.

Die beim WannaCry-Angriff ausgenutzte Schwachstelle befand sich im Betriebssystem Microsoft Windows. Diese Schwachstelle, die das britische Gesundheitssystem NHS zum Stillstand brachte, war von Microsoft behoben worden. Doch das reichte nicht. Die Updates, die sie schlossen, mussten auch auf den Computern der NHS-Beschäftigten installiert werden. Der NHS hatte das empfohlene Update nicht eingespielt und erlitt den größten Cyberangriff seiner Geschichte.

Es scheint gut möglich, dass sich in den kommenden Tagen Ähnliches mit noch größerer Wirkung ereignet. Der Grund dafür ist die am 10. Dezember 2021 bekannt gewordene Zero-Day-Schwachstelle.

Seit diesem Datum ist die IT-Welt in Aufruhr wegen einer Schwachstelle in einem Programmbaustein, den fast jedes Unternehmen nutzt, das Dienste über das Internet anbietet. Weil der Baustein so weit verbreitet und die Schwachstelle so leicht auszunutzen ist, wurde sie von der als maßgeblich geltenden US-amerikanischen National Vulnerability Database (NVD) mit dem Schweregrad 10 von 10 bewertet.

Durch Ausnutzung dieser Schwachstelle kann ein Hacker die Fähigkeit erlangen, das Netzwerk des Zielsystems aus der Ferne vollständig zu übernehmen. Dafür muss der Angreifer nicht physisch im Netzwerk sein. Das kann vor allem staatlich unterstützte Hackergruppen reizen, denn sie wissen, dass das angegriffene Land keine Sanktionen gegen sie verhängen wird.

Der als Log4j bekannte Baustein wird in der IT verwendet, um Protokolle (Logs) im System zu führen. Um schnell arbeiten zu können, binden Softwareentwickler oft von anderen erstellte Programmbausteine oder Bibliotheken in ihre Programme ein, statt alles selbst zu schreiben. Log4j ist eine solche Bibliothek. Statt einen solchen Baustein selbst zu schreiben, laden ihn die Entwickler von der entsprechenden Webseite herunter und nutzen ihn.

Mit Bekanntwerden der Schwachstelle veröffentlichten die Entwickler des Bausteins noch am selben Tag ein Update und baten die Nutzer, es so schnell wie möglich einzuspielen. Wie jedoch der Bericht der NVD vom 14. Dezember 2021 zeigt, war die Schwachstelle nicht vollständig behoben, und dasselbe Programm wurde erneut aktualisiert.

Einem Bericht des internationalen Cybersicherheitsunternehmens ESET zufolge gibt es in sehr großem Umfang Angriffsversuche zur Ausnutzung dieser Schwachstelle, die sich vor allem gegen die USA, Großbritannien, die Türkei und Deutschland richten.

Ein solches Update einzuspielen dürfte gerade zum Jahresende hin sehr schwierig werden, denn zum Jahresende gehen Unternehmen in eine als Change Freeze bekannte Phase, in der jede systemrelevante Änderung eingefroren wird. Das heißt, viele Unternehmen könnten dieses Update bis zum Ende des Change Freeze aufschieben.

Untersuchungen zum WannaCry-Angriff zeigen, dass öffentliche Einrichtungen wie Gesundheitsdienste und andere Behörden bei der Aktualisierung ihrer Betriebssysteme sehr langsam waren. Das schafft für Hacker eine riesige Angriffsfläche.

Offenbar wird sich auch die Schwachstelle in Log4j nicht leicht beheben lassen, und das sehr enge Rennen gegen die Zeit zwischen Hackern und den redlichen Nutzern in der IT wird in den kommenden Tagen weitergehen.

Unternehmen sowie öffentlichen Einrichtungen, die diesen Baustein nutzen, kann man nur raten, das Thema nicht von der Tagesordnung zu nehmen, bis die Schwachstelle vollständig behoben ist.