„Aikido“-Sicherheitslücke macht EDR zu Wiper-Malware

7. Dezember 2022: Ein Sicherheitsforscher von SafeBreach hat eine Sicherheitslücke namens „Aikido“ aufgedeckt, mit anschließendem (12. Dezember) Proof-of-Concept (POC)-Exploit-Code, der möglicherweise auf Microsoft Windows-Endpunkten laufende EDR-Agenten in bösartige Datenlöscher verwandeln kann.

12. Dezember 2022 : CyberHoot hat von einer kritischen Sicherheitslücke in ConnectWise und SonicWall Capture Client (sowie weiteren unten aufgeführten EDR-Produkten) erfahren. Managed Service Provider (MSPs) werden dringend gebeten, ihre Systeme umgehend zu patchen. Es liegen Hinweise auf bereits ausgenutzte Sicherheitslücken vor, die die Ausführung beliebigen Codes mit erweiterten Administratorrechten ermöglichen.

Was ist Wiper-Malware?

„In der Computersicherheit bezeichnet man als Wiper eine Art Schadsoftware, die darauf abzielt, die Festplatte des infizierten Computers zu löschen (daher der Name), indem sie Daten und Programme unwiderruflich entfernt.“ ( Wikipedia)

Warnstufe des Schwachstellenwarnungs-Verwaltungsprozesses:

Kritischer Hinweis: Sofortiges Handeln erforderlich

Betroffene Systeme:

Die folgenden Softwarelösungen wurden von ConnectWise identifiziert und getestet. Weitere Systeme könnten gefährdet sein. Überprüfen Sie die Sicherheitshinweise Ihres Anbieters, um mögliche Risiken zu identifizieren und schnellstmöglich Patches zu installieren.

• Microsoft Windows mit SentinelOne-Agenten, auf denen alle Versionen vor 22.2.4.558 ausgeführt werden, ist anfällig.
• SentinelOne-Agenten werden in den folgenden ConnectWise-Produkten verwendet: ConnectWise SentinelOne Control, ConnectWise SentinelOne Complete, ConnectWise MDR mit SentinelOne und ConnectWise MDR Premium mit SentinelOne.
• Dieser Exploit wurde auch getestet gegen Defender, Defender für Endpunkt, TrendMicro Apex One, Avast Antivirus und AVG Antivirus und erwies sich als anfällig.

Mitigation

ConnectWise

1. Installieren Sie den SentinelOne-Agenten Version 22.2 SP1 (22.2.4.558) auf Ihren Windows-Agent-Endpunkten.
2. Starten Sie Ihr System neu, wenn in der SentinelOne-Konsole „Neustart ausstehend“ angezeigt wird.

Microsoft Malware Protection Engine:

1. Installieren Sie Version 1.1.19700.2 der Defender-Software und starten Sie neu, wenn Sie dazu aufgefordert werden.

TrendMicro Apex One:

1. Installieren Sie Hotfix 23573 und Patch_b11136 ihrer Software und starten Sie neu, wenn Sie dazu aufgefordert werden.

Avast & AVG Antivirus:

1. Installieren Sie Version 22.10 ihrer Antivirensoftware und starten Sie neu, wenn Sie dazu aufgefordert werden.

Empfehlungen des Verkäufers:

ConnectWise-Warnung : https://www.connectwise.com/company/trust/advisories Microsoft Defender-Warnung : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-37971 Avast- und AVG-Warnung : https://nvd.nist.gov/vuln/detail/CVE-2022-4173 Trend Micro-Warnung : https://success.trendmicro.com/dcx/s/solution/000291830?language=en_US

Weitere Ressourcen:

SonicWall Capture Client-Warnung : https://www.sonicwall.com/support/knowledge-base/capture-client-differences-between-sonicwall-managed-and-self-managed-versions/181114002946980 / Definition von Time-of-Check und Time-of-Use: https://cwe.mitre.org/data/definitions/367.html SonicWall Aikido-Warnung: https://www.sonicwall.com/support/knowledge-base/aikido-exploit-and-its-impact-on-sonicwall-capture-client/221213114338960/ BlackHat SafeBreach-Ankündigung: Aikido-Schwachstelle: https://i.blackhat.com/EU-22/Wednesday-Briefings/EU-22-Yair-Aikido-Turning-EDRs-to-Malicious-Wipers.pdf

Sichern Sie Ihr Unternehmen noch heute mit CyberHoot!!!

Jetzt anmelden