Hacktivismus und Kritische Infrastruktur: Eine neue Bedrohung

Einleitung

Als die Gruppe Vulcan – mutmaßlich ein pro-russisches Hacktivismusnetzwerk – das Berliner Stromnetz angriff, wurde weder Lösegeld gefordert noch wurden Daten gestohlen. Das Ziel war einfacher: den Betrieb lahmlegen und ein öffentlichkeitswirksames Zeichen setzen (Reuters). Dies ist das definierende Merkmal des Hacktivismus. Hacktivisten werden von Ideologie und Politik angetrieben; ihr primäres Ziel ist Sichtbarkeit und Verunsicherung der Gesellschaft.

Wer sind diese Hacktivisten – und worin unterscheiden sie sich?

Die meisten Organisationen haben ihre Cyberabwehr auf ein vertrautes Bedrohungsmodell ausgerichtet: einen gewinnorientierten Angreifer, der still vorgeht, unentdeckt bleiben möchte und etwas will, das Ihre Organisation besitzt – Daten, Zugangsdaten, geistiges Eigentum. Hacktivisten durchbrechen dieses Modell. Sichtbarkeit ist das Ziel, nicht das Risiko. Während konventionelle Cyberkriminelle großen Aufwand betreiben, um unentdeckt zu bleiben, agieren Hacktivisten genau umgekehrt. Sie […]

LFI in cloud-managed Kubernetes: Wie unsichere Standardeinstellungen den Weg zur Cluster-Kompromittierung ebnen

Kubernetes ist heutzutage ein essenzieller Bestandteil von modernen Webanwendungen. Die Verbreitung ist in den letzten Jahren rasant gestiegen und auch wir als Pentester bzw Red Teamer stolpern immer häufiger über auf Kubernetes betriebene Infrastrukturen.

Da ein selbst verwaltetes Cluster jedoch ein erhebliches Unterfangen ist, liegt es nahe, auf gemanagte Lösungen von Azure, AWS oder GCP zurückzugreifen. In diesem Blog geht es speziell um unsichere Standardeinstellungen in Azure Kubernetes Services (AKS) und wie Angreifer einfache Schwachstellen nutzen können, um potenziell das gesamte Cluster zu übernehmen.

[…]

Einmal Kernel-Zugriff bitte – BYOVD und verwundbare Treiber

Einleitung

BYOVD-Angriffe (Bring Your Own Vulnerable Driver) haben sich in den letzten Jahren zu einer ernstzunehmenden Bedrohung entwickelt. Angreifer nutzen dabei legitime, aber verwundbare Kernel-Treiber, um privilegierte Operationen auf Zielsystemen auszuführen. Hierbei spielt es keine Rolle, welche Treiber auf dem System regulär verwendet werden, sondern lediglich, welche Treiber unterstützt werden, also welche Treiber Angreifer im Nachhinein noch installieren können. Ein aktueller Blog-Artikel von Check Point Research zeigt, dass verschiedene Versionen des Truesight-Treibers aktiv in freier Wildbahn für solche Angriffe eingesetzt werden.

Dieser Artikel zeigt die technischen Hintergründe von BYOVD-Angriffen: Warum Legacy-Treiber ein strukturelles Sicherheitsproblem darstellen, wie Microsofts Schutzmaßnahmen umgangen werden können und wie simpel die praktische Ausnutzung am Beispiel des Truesight-Treibers tatsächlich ist.

Warum alte Treiber so problematisch sind

Legacy vs. moderne Signaturen

Microsoft hat die Anforderungen […]

Was Firewalls nicht abfangen können

Der Vorfall in Berlin hat viele Organisationen aufhorchen lassen, nicht, weil besonders ausgefeilte Hacking-Techniken eingesetzt wurden oder komplexe IT-Schutzmechanismen umgangen wurden, sondern weil hier ein Eingriff in die physische Welt stattfand, dessen Auswirkungen auf kritische Infrastruktur und zehntausende Haushalte unmittelbar und greifbar waren, und der vor Augen führt, dass physische Angriffsvektoren in der alltäglichen (digitalen) Risikobetrachtung häufig unterschätzt werden.

Was auf den ersten Blick wie ein politisch motivierter Anschlag auf das Stromnetz wirkt, ist aus sicherheitstechnischer Sicht vor allem eines: ein Weckruf an Organisationen aller Größenordnungen, ihre physischen Schutzmaßnahmen nicht zu vernachlässigen.

In zahlreichen Unternehmen gilt physische Sicherheit als geregelt: Türen sind verschlossen, Zäune ziehen sich um das Gelände, Besuchende melden sich an. Auf dem Papier wirkt das nachvollziehbar und ausreichend, doch im Alltag verändern sich Abläufe […]

Mehrere Schwachstellen in UC eBanking Prime

NSIDE hat mehrere, zum Teil kritische Schwachstellen in UC eBanking Prime (Versionen 6.1.0 und 6.2.0) gefunden. Die Schwachstellen ermöglichen Angreifern unter bestimmten Umständen unautorisierten Zugriff zur UC eBanking-Prime-Webanwendung und damit zu sensiblen Daten wie Kontoständen und der Transaktionshistorie. Diese Schwachstellen werden nun im Rahmen eines Responsible-Disclosure-Prozesses offengelegt. Mit diesem Blogartikel möchten wir die zeitgleich veröffentlichten Advisorys NSIDE-SA-2025-001 und NSIDE-SA-2025-002 mit weiteren technischen Details ergänzen.

Einleitung

UC eBanking Prime ist eine On-Premise-Electronic-Banking-Lösung für Geschäftskunden der Hypovereinsbank (HVB)/UniCredit. Die Lösung besteht aus einer Webanwendung, die im Intranet des Kunden installiert wird, sowie einer Desktopanwendung namens OTC Client, die für die Anmeldung an der Webanwendung benötigt wird.

Im regulären Betrieb meldet sich der Benutzer zunächst mit einer sogenannten „Keybag“-Datei und dem dazugehörigen Passwort an der Desktopanwendung OTC Client an:

Wie laufen Pentests in Zeiten hybrider Cloud-Umgebungen ab?

Wir bei der NSIDE haben uns ein Ziel gesetzt: Realistische Angriffssimulationen durchzuführen und damit reale, greifbare Risiken aufzeigen. Dies zieht sich durch jeden unserer Pentests. Wir sind der Meinung: was nicht nachgewiesen werden kann landet auch nicht im Bericht (außer natürlich es gibt eindeutige Indikatoren, dass es trotzdem problematisch sein kann oder es sind Verstöße gegen Best-Practices).

Mit einer immer stärkeren Verbreitung von Cloud-Infrastruktur und einem Shift von klassischer On-Premises-Infrastruktur hin zu großen Cloudanbietern hat sich auch die Art und Weise geändert, wie wir Pentests durchführen.

Klassische Pentests

Unsere Pentests des internen Netzes und Active Directory laufen für gewöhnlich so ab: wir lassen uns von unserem Kunden einen Laptop zuschicken und senden selber unsere sogenannte Pentest-Box an den Kunden. Diese Box wird genutzt, um einen Angreifer mit Zugang […]

SOCKS Proxies in Red Team Engagements

In the ever-evolving landscape of red team operations, maintaining persistent and covert communication channels is crucial for successful engagements. Recently, it has become more and more important to be aware of which process is doing what. For example, notepad.exe communicating to the Internet is weird, while it’s totally normal for chrome.exe. But chrome.exe communicating to file shares or domain controllers in the network? Strange again. This post explores how SOCKS proxies can help solve this issue while also providing defenders with the knowledge needed to detect these approaches.

What is Chisel?

While we’ve been utilizing Chisel for this kind of evasion in our Red Team engagement for a while now, threat actors increased their usage as well, resulting in more and more attention being drawn […]

Wie Pentester Unternehmen, für die KRITIS, NIS2 oder ISO 27001 relevant sind, effizient weiterbringen

Die Anforderungen an die Informationssicherheit steigen. Mit Regelungen wie BSIG, ITSiG / ITSiG 2.0, BSIKritisV, ISO 27001 und seit Neuem NIS2 rückt die Frage in den Mittelpunkt: Wie beweise ich, dass meine Sicherheitsmaßnahmen wirksam sind?
Genau hier kommen Penetrationstests ins Spiel. Sie sind nicht nur technisches Pflichtprogramm, sondern ein entscheidender Baustein für Compliance, Risikomanagement und Revisionssicherheit.
Auch die praktische Unterstützung von Pentestern bei der Implementierung und der Pflege eines ISMS ist oft Gold wert.

Warum klassische Risikoanalysen allein nicht mehr reichen

KRITIS, NIS2 und ISO 27001 verlangen eine risikobasierte Herangehensweise. Doch theoretische Matrixbewertungen können nur begrenzt abbilden, wie Angreifer tatsächlich vorgehen würden.
Pentests schließen diese Lücke: Sie zeigen reale Schwachstellen, priorisieren Risiken anhand tatsächlicher Ausnutzbarkeit und liefern harte Daten, die Auditoren anerkennen.

Ergebnis: Eine Risikoanalyse, die sich nicht auf Annahmen stützt, […]

Asset Discovery über Zertifikate

In Projekten werden wir oftmals beauftragt, sogenannte OSINT-Analysen („Open Source Intelligence“) durchzuführen, in denen je nach Anforderung unterschiedliche Aspekte der (IT-) Sicherheit anhand öffentlich zugänglicher Daten näher betrachtet werden sollen. Besonders ausführlich fällt diese Analyse bei TIBER/DORA oder Red/Purple Team Assessments aus, wobei ein möglichst ganzheitliches Bild der potenziellen Angriffsfläche bzw. der Bedrohungslage erfasst werden soll, beispielsweise hinsichtlich:

Vorhandener IT-Infrastruktur und deren Schwächen
Möglicher physischer Angriffsvektoren
Schützenswerten Informationen, die eventuell öffentlich zugänglich sind
Gestohlener Passwörter
Bedrohungslage durch reale Akteure
U.v.m.

Unabhängig davon was genau gefordert wird – das übergeordnete Ziel bleibt immer konstant: Unterschiedlichste Informationen auszumachen, die öffentlich verfügbar und für Angreifer interessant, also einem Angriff zuträglich, sein könnten.
Doch schon beim ersten Punkt (dem Identifizieren von vorhandener IT-Infrastruktur) kann man sich wundern, wie genau das eigentlich […]

Chalk and Debug – ein Angriff im Schatten von S1ngularity und Shai-Hulud?

Spätestens seit dem SolarWinds Angriff 2020 rückt die Software Supply Chain aufgrund der von Ihr ausgehenden direkten Gefährdung von Softwareprojekten innerhalb von Unternehmen immer mehr in den Fokus der IT-Sicherheit. Innerhalb der letzten Wochen zeigte sich erneut, wie anfällig zentrale Distributionsplattformen für Open-Source-Komponenten sind: Die Paketquelle NPM wurde gleich drei Mal kompromittiert – jeweils mit dem Ziel, Schadcode über weit verbreitete Bibliotheken in Entwicklungsumgebungen einzuschleusen.

Diese Angriffe verdeutlichen eindrücklich, dass selbst weit verbreitete Paketquellen wie NPM keine absolute Sicherheit bieten und sich zunehmend zu einem attraktives Angriffsziel innerhalb der Software-Lieferkette entwickeln. Neben den bekannteren und größeren Angriffen der letzten Wochen, S1ingularity und Shai-Hulud, wurden auch in einem unbekannteren, weiteren Angriff 18 Pakete mit mehreren Milliarden Downloads pro Woche mit einem Crypto-Trojaner infiziert. In diesem Blogbeitrag […]

Red Team Assessment

Penetrationstest

Trainings & Workshops

Deutsch

BLEIBEN SIE AUF DEM LAUFENDEN