Latest / Coding Buddies | Tech & Dev-Mindset / #122 Big Software Fails 7 - Der Trojaner im Admin-Mantel

Transcript

#122 Big Software Fails 7 - Der Trojaner im Admin-Mantel · Coding Buddies | Tech & Dev-Mindset

0:00
Ich hätte gedacht, 1234. Und das war wahrscheinlich die
0:03
Security dahinter, dass sie die 4 weggelassen haben.
0:06
Aber da denkst du dir halt schon so.
0:07
What? Coating Buddy, Dein Podcast rund
0:11
um Softwareentwicklung und aktueller Tech News herzlich
0:14
willkommen. Halli Hallo und herzlich
0:28
Willkommen zur neuen Folge des Coding Buddies Podcasts.
0:31
Schön, dass du wieder eingeschaltet hast.
0:32
Liebe Zuhörer, liebe Zuhörer, wir freuen uns da sehr drüber
0:35
und deine Gastgeber, wie soll es anders sein, meine Wenigkeit,
0:39
der Tino und der fantastische Fabi, der schon wieder grinst
0:42
wegen dieser Standardeinleitung, aber sie gehört einfach zum
0:44
Podcast dazu. Fabi, Was geht ab?
0:48
Ich find's immer geil. Wie soll es auch anders sein.
0:52
Ich warte immer noch darauf, dass irgendwann so aus Versehen
0:55
irgendwann anders ist. Nein, aus Versehen irgendwann,
0:58
so weißt du beide Willigkeit der Tino und Franz, ich weiß, Fabian
1:03
verdammt, wie geht es, wie steht es mir, geht es gut, ich ich bin
1:08
schon n bisschen Hype auf die Folge jetzt.
1:10
Weil da wird auf jeden Fall ne Menge passieren.
1:15
Das wird ne Menge passieren. Es wird schon ne Einleitung,
1:18
weißt du das wird alle gleich so catchen, weißt du bleibt dran,
1:22
heute wird ne Menge passieren, ganz genau, wir sagen doch nicht
1:25
was, aber es wird ne Menge passieren.
1:26
Aber bevor wir jetzt reinstarten, bevor wir sagen,
1:29
was für ne Menge passiert, wollen wir noch mal ganz kurz
1:33
dran erinnern. Auf jeden Fall.
1:36
Wenn du diesen Podcast hörst, liebe Zuhörer, lieber Zuhörer,
1:38
dann auf jeden Fall den Podcast auch abonnieren und das
1:41
Glöckchen drücken, weil dann verpasst man nämlich auch keine
1:44
Folge mehr. Hatten wir glaub ich letztens
1:47
gesagt, hab ich jetzt entdeckt, es gab n Glöckchen haben wir mal
1:49
so entdeckt, genau, dass man nicht verpasst, dass ne Menge
1:53
passiert quasi ja richtig und noch eine kleine Anmerkung,
1:58
bevor wir richtig losstarten ist auf jeden Fall viel Vorgeplänkel
2:01
heute Tino Ich weiß nicht ob heute doch noch so viel
2:03
passiert. Nee, pass auf, mal raus, wir.
2:07
Wollten eigentlich nach der Burnout Folge oder Shutdown im
2:11
Kopf hieß die wollten wir eigentlich noch n kleinen
2:13
Nachtrag in der nächsten Folge machen, aber wir haben es
2:15
nämlich voll verpeilt und ja wollten jetzt aber das auf jeden
2:18
Fall noch mal anbringen weil wir das ja nicht komplett vergessen
2:22
wollen, auf den Tisch kehren wollen.
2:23
Besser später als nie. Genau weil.
2:26
Uns hat nämlich Stefan geschrieben und ne kleine
2:28
Anmerkung zu der Folge gegeben. Ich möchte mal kurz sagen, worum
2:31
es da ging, Tino. Also erstmal vielen Dank für die
2:34
Anmerkung. Wir freuen uns immer mega, wenn
2:35
ihr uns schreibt und einfach quasi so euren Senf dazu gibt,
2:39
das freut uns mega und das war auch n echt wirklich cooler.
2:43
Ne Einwand was heißt Einwand? Ne Ergänzung würd ich es nennen
2:46
und zwar hatten wir ja so als Vergleich quasi Ärzte
2:51
herangezogen, so als kleiner. Ja, wirklich Verweis drauf.
2:56
Bei Softwareentwicklern wird man immer oft abgelenkt ne und man
2:59
muss immer wird immer ständig aus seiner Konzentrationsphase
3:01
rausgerissen und da haben wir beide ja gesagt jetzt stell dir
3:04
mal vor das wär bei Ärzten so wenn sie gerade im OP sind, ja
3:07
oder die Ärztin muss jetzt einfach aus dem OP Saal raus
3:10
weil irgendwas ganz wichtig in der Kaffeeküche gerade ist.
3:13
Interessanterweise hat Stefan uns geschrieben und meinte, dass
3:17
er von seiner Freundin, die scheinbar denn Ärztin ist, würde
3:20
ich mal sagen, gehört hat, dass es bei Ärzten genauso ist und
3:23
bei Ärztinnen. Das heißt, man muss sich das so
3:26
vorstellen, dass man dann wirklich im OP Saal das Telefon
3:29
ständig klingelt, dass andere Entscheidungen getroffen werden
3:32
müssen. Ja, also dass du quasi
3:34
eigentlich in einem OP gerade bist und dann noch schon über
3:37
die nächsten OP nachdenken musst.
3:38
Und das sind ja ist ja der perfekte, wie soll ich sagen,
3:41
das kann es ja komplett, denn gleich ziehen mit der
3:43
Softwareentwicklung, nur dass es da in dem Fall natürlich noch
3:46
viel krasser ist, aber diese Ablenkung genauso vorhanden ist.
3:50
Und das fand ich halt also beim Lesen der Mail dachte ich mir
3:52
so, das kann ja wohl nicht wahr sein.
3:54
Ja, ist krass. Vor allen Dingen, dass er dann
3:55
auch meinte, so manchmal muss man, dann muss sogar auch der OP
3:57
verlassen werden, weil es so wichtig ist, wo man sich dann
4:00
auch denkt, so, Boah heftig, also Ende vom Lied, es ist sind
4:04
wohl nicht mal in solchen Situationen wie OPS, Ärzte oder
4:07
Ärztinnen davor gewahrt, dass irgendwie so n sägezahneffekt
4:10
reinhaut, und das ist natürlich krass.
4:13
Man könnte jetzt denken, das ist nicht so, aber es ist wohl dann
4:16
doch so hoffentlich nicht so häufig wie bei
4:19
Softwareentwicklern und Softwareentwicklerinnen, aber.
4:22
Na ja, ich glaub jetzt gar nichts mehr.
4:25
Ich glaub jetzt gar nichts mehr. Es zeigt auf jeden Fall auch,
4:27
warum auch das Stresslevel da oft so hoch ist, weil sowas ist
4:31
natürlich einfach nur krass, weil du halt auch so ne riesen
4:34
Verantwortung nebenbei trägst. Mal so ganz nebenbei in
4:37
Anführungsstrichen ne, also du hast halt diese riesen
4:39
Verantwortung, du wirst dann trotzdem immer aus der
4:41
Konzentration rausgerissen, ich glaub oft und das ist schon
4:44
krass, also das fand ich wirklich krass.
4:45
Also Stefan, vielen Dank für die Anmerkung und Du hast uns noch
4:48
mal geteilt, passt auf euch auf. Genau und Liebe zuhören, Liebe
4:52
zuhören. Falls du dich fragst, worum es
4:53
da wirklich ging, wie gesagt, das war die Shutdown im Kopf,
4:56
Folge hör sie dir gerne mal an, ist n unglaublich wichtiges
4:59
Thema und war uns auch wirklich wichtig da mal drüber zu
5:02
sprechen absolut so, das waren glaub ich die Anmerkung vorweg
5:07
Fabi und jetzt starten wir mal rein mit der eigentlichen Folge
5:10
denn und das ist jetzt der Hammer denn es wird ne Menge
5:14
passieren wie du schon meintest wir haben heute.
5:17
Mal wieder eine Big Fails der Softwareentwicklung.
5:20
Lange Folge her, lange her. Es ist ne Weile her und ich find
5:25
es auch n bisschen schade, dass es ne Weile her ist.
5:27
Deswegen freue ich mich umso mehr auf die Folge heute, weil
5:29
ich diese Reihe richtig feier, sich einfach mal anzugucken, was
5:33
für abgefahrener Scheiß so passiert es in der
5:36
Softwareentwicklungswelt und wir haben uns da heute auch wieder n
5:41
sehr sehr coolen Fall cool im Sinne von beeindruckend
5:44
spektakulär rausgesucht und. Und er ist auch wirklich, wie
5:49
soll ich sagen, ziemlich brandaktuell.
5:52
Eigentlich noch also im Verhältnis zu manch anderen, die
5:55
wir besprochen haben. Das stimmt.
5:56
Also es ist noch nicht ganz so lange her und es wird heute auf
5:58
jeden Fall um. Wie sagt man Sicherheitslücken,
6:02
Software, Hacks und n paar Probleme sozusagen wie es dazu
6:06
gekommen ist. Überhaupt, das werden wir
6:09
besprechen und natürlich wollen wir am Ende gucken, wie wir es
6:13
immer mal machen. Bei dieser Reihe.
6:15
Was kann man eigentlich daraus lernen, aus so einem Fail?
6:18
Wie ist es, warum ist es passiert, was kann man irgendwie
6:21
dagegen tun oder was kann man sich selbst vielleicht daraus
6:24
mitnehmen? Genau das ist nämlich, dass der
6:26
große Punkt bei dieser Reihe, dass man immer versucht, ja ein
6:28
Learning daraus zu ziehen, dass man nicht selbst Gefahr läuft,
6:32
so zu enden, mal provokativ gesagt und deswegen genau du
6:37
hast es ja schon ein bisschen angeteasert, wir möchten heute
6:40
mal über einen der größten Hacks der letzten Jahre sprechen und.
6:44
Experten sprechen sogar davon, dass es n historisches Ereignis
6:47
war. Gerade für die Cyber Security,
6:50
weil es halt einfach der einer der größten Hacker Angriffe der
6:53
letzten Jahrzehnte für die sogar war.
6:55
Und das find ich ist schon krass zu sagen der letzten Jahrzehnte,
6:58
aber er hat es auch wirklich in sich und zwar wollen wir heute
7:02
über den Solar wins Hack sprechen, was im Prinzip ein
7:07
massiver Spionage Coup war, der scheinbar.
7:12
Durch ein harmloses Software Update ausgelöst wurde oder
7:15
dadurch zustatten kam. Und das finde ich halt ziemlich
7:18
krass. Doch sag mal, lass uns mal
7:21
anfangen das von vorne aufräumen was ist Solar wins eigentlich?
7:24
Genau, also Solar wins ist ein TEXANISCHER it Anbieter und hat
7:28
eine Plattform Orion oder Orion, je nachdem wie man sich
7:33
aussprechen möchte. Deutsch, Englisch wie man
7:35
möchte. Und.
7:36
Und dieses Tool dient der Netzwerküberwachung.
7:38
Also du kannst es halt nutzen, um irgendwie bei dir
7:41
beispielsweise dein Netzwerk zu checken, zu überwachen, dass da
7:44
auch alles in sicheren Bahnen läuft, ne es es ist manchmal für
7:50
die, es ist manchmal ja auch immer so, dass gerade wenn du
7:54
Software hast, die für so eine vielleicht Überwachung da ist,
7:58
dann ist es natürlich immer blöd, wenn genau an dieser
8:01
Stelle auch irgendwie angegriffen wird.
8:05
Oder auch angegriffen werden kann.
8:07
Das ist immer noch das eine Ding, und na ja, ich meine, es
8:11
ist aber auch irgendwie logisch, weil genau diese Punkte sind
8:15
natürlich interessant, dann auch ne genau für diesen Zweck, aber
8:18
man muss sich vorstellen, dass dieses Unternehmen auch einfach
8:20
über 33000 Kunden hatte und es. Ist schon ne große Nummer, ne.
8:25
Genau, erstens das und nicht nur unbedingt das, sondern es da
8:28
drunter zählen halt auch zum Beispiel Regierungs.
8:33
Institute oder wie man das nennt, also ne wirklich
8:35
regierungsinstrumente. Die Kunden waren aber auch zum
8:37
Beispiel große Techkonzerne beispielsweise, und das Macht
8:41
das Ganze am Ende natürlich dann irgendwie.
8:43
Ich nenn es jetzt mal interessant in
8:45
Anführungsstrichen ne. Ja, es hat halt einfach ne
8:49
ordentliche Brisanz. Dann ne wenn jetzt unter den
8:51
Opfern US Ministerien zählen. Ich glaub das Finanzministerium,
8:56
Verteidigungsministerium, also da waren einige.
8:59
Krasse Dinger bei aber halt auch wirklich große Firmen wie
9:02
Microsoft zum Beispiel. Wir werden über Fire Eye
9:06
sprechen, die haben eine sage ich mal, eine entscheidende
9:09
Rolle dabei, aber ich glaube auch Intel war da betroffen von,
9:13
also das ist schon, das ist schon kein kleines Ding, so am
9:16
Ende ne und was ist im Prinzip passiert, also im Prinzip durch
9:21
ein Update dieser Orion Software, also zur
9:24
Netzwerküberwachung. Folgt ein klassischer Supply
9:29
Chain Angriff, so also im Prinzip wurde ein Update der
9:32
Orion Software manipuliert, das heißt, der Angriff erfolgt jetzt
9:37
nicht direkt beim Endkunden, also dass du sagst ich gehe
9:40
jetzt zum Beispiel auf dem sagen wir mal Microsoft Server und
9:43
Infiltriere die, sondern es ist über den Anbieter der Software,
9:46
in dem Fall Solar wins erfolgt und das ist halt ein krasser
9:51
Punkt. Das halt im Prinzip wirklich n
9:54
Supply Chain Angriff erfolgt wurde, aber da möchte ich später
9:57
mit dir noch mal genauer drauf eingehen, was das bedeutet was
10:00
dahinter steckt. Hinter einem Supply Chain
10:02
Angriff oder was meinst du? Genau, dass wir das einfach
10:04
nachher, wenn wir das technisch erklären, noch mal n bisschen
10:07
als Exkurs mit einbauen. Das wär cool so und das Resultat
10:11
war, dass zwischen März und Dezember, also fast n ganzes
10:15
Jahr im Jahre 2020. Manipulierte Orion Updates
10:21
ausgerollt wurden beim Kunden im Umlauf kamen und hammerhart
10:25
Spionage betrieben haben, also wirklich so rund 18000 Kunden
10:29
installierten sich diese Updates, was im Prinzip Trojaner
10:32
waren mit klassischen Backdoors. Und es erfolgte halt quasi
10:37
Zugriff auf die Daten. Ja, also ne reinste Spionage am
10:40
Ende, man erlangte Zugriff auf e Mails aufs Netzwerk, auf die
10:43
Daten an sich ja. Du kannst halt eigentlich, das
10:46
ist halt krass, ne, du kannst dann am Ende wenn du sowas ich
10:49
sag mal geschafft hast, hast du halt einfach die Möglichkeit
10:52
Daten aus den entsprechenden Firmen herauszuziehen, weil du
10:56
halt irgendwie Zugriff auf irgendeine Art und Weise, halt
10:59
eben wie genau das jetzt also passiert, das besprechen wir
11:01
später noch. Oder oder was das dann
11:04
sozusagen, wie das wieder dieser Effekt zustande kam.
11:06
Aber du kannst halt einfach Daten rausziehen ohne Ende und
11:09
ich denk mir halt immer so, wenn du eine Sicherheitslücke hast,
11:12
ne die so sagen wir mal mehrere Stunden da ist ne so, dann
11:18
kannst du irgendwie Daten abzapfen, je nachdem wie schnell
11:22
dein Netzwerk ist. Hast du kannst du irgendwie
11:25
berechnen wieviel kriegst du irgendwie raus ne?
11:28
So aber wenn es jetzt länger anhält, irgendwie keine Ahnung.
11:30
Eine Woche wieviel Daten kann man kopieren, beispielsweise nur
11:33
mal um sich das mal einfach mal einfach vorzustellen innerhalb
11:36
einer Woche und wieviel Daten kannst du irgendwie erlangen und
11:40
auch separiert erlangen, wenn es halt einfach mal dreiviertel
11:44
Jahr offen ist. Diese diese, diese Schwachstelle
11:48
oder dieser dieser Angriff funktioniert, das ist schon
11:52
heftig. Genau.
11:55
Und wie im Prinzip jetzt der Ablauf war, warum das überhaupt
11:58
so lange offen war oder angreifbar war, weil wie du
12:01
schon meintest, das ist ne lange Zeit, warum wurde das nicht
12:04
entdeckt? Das würde ich mit dir heute mal
12:06
aufrollen, weil ich das war nämlich auch so in der
12:08
Recherche, mein erster Gedanke, wie kann es sein, dass du jetzt
12:11
von März bis Dezember so lange diese Schadsoftware installiert
12:17
hattest, sozusagen ne, also über diese Updates und weiterhin
12:19
ausrollen konntest. Und das ist halt wirklich krass
12:23
und ich möchte mit dir klären, wer mutmaßlich dahinter steckte,
12:25
weil das fand ich auch super spannend und genau das möchte
12:28
ich heute alles mit dir in dieser Folge besprechen, was ich
12:31
halt auch richtig geil finde dabei, weil das macht so n
12:35
bisschen mysteriös. Es ist halt auch nicht
12:36
vollständig aufgeklärt, ne, da ist so n bisschen gemauschel
12:39
drin, es hat halt wie gesagt durch die mutmaßlichen Angreifer
12:43
ordentlich Brisanz und deswegen würde ich sagen starte ich mal
12:46
damit. Die Story mal so n bisschen
12:49
aufzurollen. Wie war der Ablauf?
12:51
Ist das in Ordnung für dich, Fabi?
12:53
Hau raus, o. K Let's go.
12:56
Also wir gehen mal ans Ende erstmal.
13:00
Jetzt hör ich, du willst es doch von vorne aufrollen.
13:02
Nein, wir fangen mal ganz hinten an am 9.
13:05
Dezember 2020 und ich sagte ja schon, dass Fire Eye das
13:08
Unternehmen ne große Rolle spielt, meldet nämlich genau
13:11
dieses Unternehmen kompromittierung.
13:14
Dass im Prinzip Daten von ihnen gestohlen wurden, ja, also die
13:20
haben es mitgekriegt, dass irgendwas nicht stimmt in ihrem
13:23
Traffic, ihrem Netzwerk, dass Daten abfließen, und das haben
13:27
Sie gemeldet und komischerweise, als das so ein bisschen in
13:32
Umlauf kam beziehungsweise ja okay es ist eine Kettenreaktion,
13:35
haben auch US Behörden angefangen zu melden, dass sie
13:39
gehackt wurden, so. So, und dann kam nämlich 1 zu 1
13:43
zusammen und du denkst dir so okay ihr seid alles Kunden von
13:47
Solar wins und habt dieses Orion System im Einsatz.
13:51
Vielleicht ist das ja so der gemeinsame Nenner und im Prinzip
13:55
haben genau das dann Ermittlungen gezeigt, dass es
13:58
ein kompromittiertes Orion Update war mit dem sogenannten
14:01
Sunburst Trojaner und dieser Trojaner wurde aber über ein
14:07
signiertes Update quasi völlig. Vollständig legitim ausgerollt,
14:13
signiert, das ist n Ding und ich denke das ist wieder ne Zeit für
14:18
ne geile Analogie fabi und ich guck dich an und ich seh einfach
14:21
du hast bestimmt ne Analogie dabei um mal zu erklären was es
14:25
eigentlich bedeutet n signiertes Update zu haben und warum das
14:29
dadurch auch möglich war am Ende.
14:31
Ja, also wenn du, wenn du das jetzt mal so ins Mittelalter
14:35
schiftest das ganze ne dieses ganze Szenario beispielsweise.
14:40
Dann wäre jetzt nicht Microsoft aus dem Mittelalter.
14:42
Ach ja, klar so, dann schickt dann schickt Microsoft, schickt
14:45
so n boten los ne und da ist sozusagen dann das Königssiegel
14:49
das königliche Microsoft Siegel drauf, keine Ahnung auf diesen
14:54
Brief und überbringt das dann halt keine Ahnung einem anderen
14:57
König oder was auch immer ne oder einer anderen Königin so
15:00
und dann wird halt dieser Brief dahin gebracht und ich sag mal
15:04
der entsprechende. Empfänger dieses Briefes guckt
15:08
sich das diesen Brief an und denkt sich ja, OK, guck mal
15:10
hier, das ist genau dieses Siegel, das kenn ich, das ist
15:13
definitiv verifiziert, da steht drin alles, klar, wir sollen
15:17
heute Nacht das Stadttor offen lassen, weil eine keine Ahnung
15:22
wichtige Person. In in einer Nacht und
15:24
Nebelaktion in sozusagen das Dorf reingelassen oder in das
15:28
Schloss reingelassen werden muss.
15:30
Ne und dann denkt man sich so, na ja OK, alles klar, das ist ja
15:33
dieses Siegel, das was man kennt, ich hab schon tausendmal
15:36
Briefe mit dieser Person geschrieben, das ist auf jeden
15:39
Fall definitiv safe diese Information also mach ich das
15:43
und im Endeffekt wenn du aber sozusagen dieses Siegel sagen
15:49
wir mal zwar das Siegel, ist das Siegel zwar, aber was da drin
15:54
steht ist halt was anderes, da steht dann zum Beispiel also
15:56
die, die das reingeschrieben haben, das haben andere
15:59
reingeschrieben so rum, und dann kommst du an den Punkt, dass zum
16:02
Beispiel eigentlich ein Angreifer und eine Armee zum
16:05
Beispiel jetzt die Möglichkeit hat, über diese falschen
16:08
Informationen, die aber verifiziert als richtig sind,
16:11
sozusagen in der Lage sind, das Tor zu öffnen und einzubrechen,
16:16
obwohl ja eigentlich die. Die Nachricht gar nicht von
16:19
einem Angreifer kam, sondern von einer vertrauenswürdigen Person.
16:22
Ne bedeutet im Endeffekt, wenn jetzt zum Beispiel der Brief
16:25
losgeschickt wird, mit einem Siegel auf dem Weg zum Beispiel,
16:29
sagen wir mal, der Postbote wird überfallen als Beispiel da, der
16:32
Brief wird zum Beispiel irgendwie aufgemacht, ohne dass
16:36
das Siegel beschädigt wird und wieder zugemacht, die
16:38
Informationen wurden aber verändert da drin und dann wird
16:43
quasi dieser Brief weitergegeben und eigentlich sollte da drin
16:46
stehen sowas wie. Ne als Beispiel sowas wie ja OK,
16:50
wir werden beim Morgengrauen ankommen und es wurde aber
16:54
verändert zu lass mal bitte das Tor in der Nacht auf als
16:58
Gedankenspiel ne so und dann hast du wie gesagt als Empfänger
17:03
siehst du OK das ist vertrauenswürdig alles cool also
17:05
mach ich das was da drin steht aber eigentlich war das dann
17:09
doch nicht vertrauenswürdig. Und das ist genau das richtige
17:12
Stichwort. Vertrauen am Ende.
17:15
Um dein deine Analogie aufzugreifen, so n.
17:18
Siegel schafft ja im Prinzip das Vertrauen zu sagen, Wir haben
17:22
jetzt zum Beispiel die 2. Ja, du hast jetzt einmal Solar
17:26
Wins das Königreich ja mit mit ihrem Siegel und das Microsoft
17:30
Königreich Überlieferungen haben ergeben, dass da glaub ich n
17:33
Fenster drauf ist auf dem Siegel.
17:36
Und wenn die beiden jetzt kommunizieren, ja, und da kommt
17:40
halt wie gesagt so n Bote mit einem Brief und dem offiziellen
17:42
Solarwind Siegel, dann denkt sich König Reich, Microsoft, oh
17:48
ja, das ist vertrauenswürdig, ne, weil wir sind ja verbündet
17:52
mit denen und da ist das offizielle Siegel drauf, das
17:55
heißt, das muss vom obersten Chef aus dem Königreich
17:58
Solarwinds kommen und was da drin steht, während wir machen,
18:02
weil wir sind ja Verbündete, so und wie du jetzt schon meintest.
18:06
Jetzt ist das aber manipuliert und interessanterweise, und da
18:10
kann man gleich mal so n bisschen Supply Chain Attacke
18:12
auch n bisschen oder Angriff erklären.
18:15
Dieser Brief wurde ja nicht manipuliert auf dem Weg oder
18:20
oder oder sag ich mal im Königreich Microsoft ne, dass du
18:24
sagst so EY hier ist n offizieller Brief und der stimmt
18:26
sogar, aber bevor du den da aufmachst oder nachdem er
18:29
geöffnet wurde wird der irgendwie manipuliert und dann
18:31
liest es erst der Big Boss von Microsoft das Königsreich
18:34
sondern. Sondern das ist nämlich das das
18:37
krasse dabei. Dieser Brief in der Herstellung,
18:41
wie er geschrieben wurde, wie er verpackt wurde, wie das Siegel
18:44
drauf gemacht wurde, da wurde er schon manipuliert, das heißt, er
18:47
war ja nie richtig oder oder frei von Gefahr sozusagen finde
18:53
ich, ist ne coole Analogie, gerade das mit dem Siegel finde
18:56
ich ziemlich witzig, weil das eigentlich doch sehr gut die
18:59
Signierung beschreibt, ne digitale Signierung dahinter.
19:03
Von damals. Aber was ist denn jetzt so
19:05
verrückt und beängstigend dabei bei diesem ganzen Fall, weil es
19:08
wurde ja wirklich lange, lange, wie soll ich sagen, offen
19:14
gehalten, also das ist ein langer Zeitraum, wir haben ja
19:16
gesagt, März bis Dezember 2020, aber was eigentlich beängstigend
19:22
dabei soll, was ich krass finde, ist, dass das auch genauso lange
19:26
genau. Geplant und geduldig ausgeführt
19:28
wurde. Und da möchte ich jetzt mal
19:30
darauf eingehen, wie das Ganze gestartet ist, denn das Ganze
19:33
ging schon so nach Ermittlung ne das ganze wurde natürlich
19:37
aufgerollt, aber man hat Erkenntnisse daraus gezogen und
19:40
die gehen zurück in bis zum September 2019 also ein gutes
19:46
Jahr davor wo die ersten Kompromittierungen des Solar
19:49
Wins Netzwerks stattgefunden haben.
19:51
Ist schon krass, ne. Ne, also wo jetzt?
19:54
Wir sind jetzt wirklich bei Solar wins direkt in ihrem
19:59
Netzwerk und da wurden sie quasi schon attackiert ein Jahr vorher
20:03
und im Oktober, also quasi dann einen Monat nach den ersten
20:07
Attacken, gab es auch schon die ersten Tests der Code Injection,
20:10
dass man gesagt hat, so jetzt gucken wir mal, ob das hier so
20:13
funktioniert, wir werden mal so n bisschen schadhaften Code oder
20:16
zumindestens erstmal irgendwie Code injizieren in diese ganze
20:20
Software und gucken mal ob das läuft.
20:23
So also so ganz smooth. Ne, nicht gesagt ey wir wir wir
20:27
sind drin. OK, jetzt ausrasten jetzt alle
20:29
Daten abgreifen, alles kaputt machen, nein man ist cool
20:33
geblieben einen Monat und dann erst versucht so langsam mal da
20:36
was reinzupacken, das ist schon krass finde.
20:39
Ich na du kannst ja auch erst mal gucken, dass du im Endeffekt
20:41
erst mal sagst, also du, du willst ja erst mal gucken.
20:45
Bleibt man entdeckt oder nicht ne, also wenn du jetzt zum
20:47
Beispiel du, du fängst jetzt erst mal an das zu
20:49
kompromittieren, du. Gibst mal n bisschen Code rein,
20:52
guckst erst mal wie gesagt ne. Es muss ja nicht mal schädlich
20:55
sein am Anfang, aber du willst ja erst mal gucken.
20:57
Erstens kommt dein Code auch rein wie gedacht und zweitens
21:02
wird er denn jetzt zum Beispiel relativ schnell erkannt, weil
21:05
wenn das der Fall wäre und es relativ schnell irgendwie
21:08
aufgeflogen wäre, dann hätte man ja auch vielleicht schon vorher
21:10
n bisschen abbrechen können oder das Ganze schon mal n bisschen
21:13
verschleiern hätte können so ne aber wenn du jetzt erst mal so
21:16
diesen Test machst und diesen diesen ersten Code injektest und
21:19
du merkst OK. Gar nicht so viel passiert, ganz
21:22
entspannt ne, auch über einen gewissen Zeitraum ist nicht viel
21:25
passiert und dann kannst du ja sagen, OK, wir können
21:28
weitermachen. So weit so gut, Let's go, wir
21:31
fahren. Fort also, das muss man sich
21:34
halt wirklich mal vorstellen, dass du sagst, OK, ich habe
21:36
Zugriff auf die Software, sozusagen wie die gebaut wird.
21:40
Also jetzt zum Beispiel so ein Update und.
21:42
Und hau jetzt langsam so Code mit rein, der aber eigentlich
21:45
noch nichts wirklich macht. Aber ich will einfach sehen, ob
21:48
der da mit gebaut wird, sozusagen in das Update und
21:50
diese Herangehensweise finde ich ist halt so, so berechnend, so
21:54
krass geduldig auch einfach weil man ist ja schon in den Systemen
22:00
des des Opfers, sage ich mal ja und das das ist halt, das finde
22:04
ich total beeindruckend, aber halt im Sinne von.
22:08
Technisch umgesetzt ja. Also nicht dass dass man jetzt
22:10
jemand hackt, auf keinen Fall aber dass man das mit so mit so
22:13
einer Seelenruhe durchzieht, also das ist so richtig
22:16
berechnet, ey, das ist total krass und auf jeden Fall dann im
22:20
Februar 2020 also noch mal n paar Monate später wurde erst
22:25
dieser Sunbirst, also diese Malware wirklich in Orion
22:30
injiziert durch n Update, das heißt also noch mal Monate
22:34
vergangen. Bis eigentlich der Angriff
22:36
sozusagen gefahren wurde, sodass dann im März 2020 solarwinds
22:43
jetzt leider Gottes diese Updates ausgerollt hat an
22:46
Kunden. Und diese Updates waren also
22:49
infiziert und die Kunden haben diese Updates bekommen und waren
22:53
dementsprechend betroffen und. Und das Ganze, wie gesagt, mit
22:56
aller Geduld vorbereitet und ausgeführt.
22:59
Da muss man sagen, das zeigt schon, da waren auf jeden Fall
23:01
Profis am Werk, das war nicht so n Ding wie manche, es gibt ja
23:05
auch zig Fälle in der Geschichte, wo Leute irgendwie
23:07
Zugang zu irgendwelchen Systemen erreicht haben, aber gefühlt so
23:10
nach. Stunden aufgeflogen sind, weil
23:13
die halt alles sich angeguckt haben, überall Spuren
23:16
hinterlassen haben. Und das ist hier halt nicht
23:18
passiert. Das ist über Monate vorbereitet
23:21
gewesen, aber das ist ja auch dann noch durchgeführt.
23:23
Und das ist ja generell irgendwie mal sehr krass, weil
23:25
gerade wenn du n richtig gut, also man hört es öfter mal, wenn
23:29
du wirklich gute Angriffe hast, dann ist es ja auch oft so, dass
23:32
sie über ne ganze Zeit lang eben erstens nicht erkannt werden und
23:36
vor allem deshalb, weil sie lange vorbereitet sind.
23:39
Also quasi wirklich sozusagen. Vorbereitung ist die halbe
23:42
Miete, oder wie sagt man dazu? Ja, aber das ist halt wirklich
23:46
so ne und was ich aber zum Beispiel auch immer so als
23:49
kleiner Fun Fact irgendwie ganz lustig finde so das ist mir am
23:52
Anfang immer erst sogar nicht so, also manche sehen das
23:54
wahrscheinlich sofort, aber für mich ist das manchmal so, dass
23:57
ich dann kurz brauche und dann denk ich mir so ah clever, weil
24:01
das Unternehmen heißt solarwinds und.
24:04
Da hat ja irgendwer ne Malware aufgespielt, die heißt dann halt
24:07
zahnbürst. Hahaha, ja weißt du, also Profis
24:13
nicht nur darin, dass sie es machen, sondern auch in der
24:15
Namensgebung sehr perfekt ist halt die Frage, das weiß ich gar
24:21
nicht so genau, ob der Name quasi im Nachhinein beim
24:23
Aufrollen vergeben wurde, weil sie halt passend ist oder ob das
24:27
wirklich so provokativ noch irgendwo in diesem Update.
24:30
Drin war was super witzig, das stimmt.
24:32
Das habe ich jetzt auch gerade gar nicht im Kopf.
24:34
Aber manchmal hast du halt so auch Fälle schon gehört, dass,
24:39
na ich sag mal, dass es irgendwie auch passend ist, ne,
24:42
also dass die Leute, die das dann machen oder dann auch diese
24:45
Angriffe fahren, eben auch ja weiß ich nicht irgendwie sich da
24:50
vielleicht noch einen Spaß draus machen oder so ne, aber was ich
24:53
auf jeden. Fall auf jeden Fall passe ich.
24:55
Aber was ich auf jeden Fall ganz interessant fand oder ganz
24:58
spannend fand, war, dass dieser. Diese Malware oder dieser
25:02
Trojaner, dieser Sunburst, um den es ja gerade geht, der war
25:07
ja auch nicht so, weil du ja meintest, der wurde eingespielt,
25:10
ne um halt eben das System von den Kunden zu infizieren am Ende
25:16
oder zu infiltrieren. Und das Interessante ist, weil
25:20
du meintest, es gibt Leute die fangen an ne und haben Zugriff
25:26
und gehen sofort drauf und. Holen sich alles Mögliche und
25:30
hinterlassen die Riesen Spuren und sonst was.
25:32
Und dieser sunbirst Trojaner war ja so konzipiert, dass er
25:36
nachdem er installiert wurde auch erstmal 2 Wochen inaktiv
25:40
war, also quasi extra sozusagen nichts gemacht hat, damit man
25:47
vielleicht auch gar nicht erstmal versteht okay, da ist
25:49
irgendwas, da ist irgendeine komische Aktivität und wenn und
25:53
da musste ich zum Beispiel wieder daran denken, wie ein.
25:55
Eigentlich irgendwie clever. Das auch wiederum ist so was
25:58
einzubauen, weil wenn du zum Beispiel irgendwie Code
26:01
editierst oder irgendwie sagen wir mal, du hast irgendeine
26:04
Anwendung, eine Software und du arbeitest mit, also du
26:07
entwickelst diese Software und du machst einen neuen Commit,
26:13
also veränderst deine Code Basis je länger quasi sagen wir mal
26:18
ein Commit kommt der einen Fehler auf.
26:22
Aufwirft oder der sozusagen Ursache eines Fehlers in deinem
26:25
Code ist. Und je später du es erkennst,
26:27
desto schwieriger wird es eigentlich, das zu irgendwie
26:30
identifizieren, wo es genau herkommt.
26:32
Und da musste ich irgendwie dran denken, das heißt, wenn du
26:34
irgendwie n Trojaner installierst und sagst, OK, du
26:36
wartest jetzt aber noch mal 2 Wochen, bis da irgendwas
26:38
passiert, dann fragst du dich wahrscheinlich, warte mal hä,
26:42
das muss ja jetzt am letzten Update gelegen haben, obwohl es
26:44
vielleicht gar nicht der Fall war, weil innerhalb von diesen 2
26:46
Wochen vielleicht schon wieder mehrere Updates gefahren wurden.
26:49
Und du denkst dir so, ja, aber gestern war noch alles OK und
26:52
heute nicht und dazwischen lag n Update, also musstest an diesem
26:54
Update liegen und dann suchst du halt an diesem Update und nicht
26:57
an den an diesem Update vor 2 Wochen beispielsweise.
27:00
Genau das ist heute. Hast du vielleicht das noch
27:02
zurück so ne, aber da hast du es bist halt immer noch mit
27:05
schadhafter Software infiziert und das ist halt n riesen Punkt
27:09
der das halt auch so clever umgesetzt macht ne definitiv
27:12
aber irgendwie. Irgendwann wollten sie ja denn
27:15
doch mal so ein bisschen, mal ein bisschen die fühle
27:17
ausstrecken. Das heißt, nach dieser
27:20
Inaktivität wurde ja dann eine Verbindung zu einem, sag ich
27:24
mal, externen Command and Control Server aufgebaut, über
27:28
den dann die Hacker quasi Befehle reinspielen konnten, das
27:34
heißt, die. Die Orion Software, also die
27:38
Infizierte das infizierte Update, hat dann Kontakt zu
27:41
einem externen Server aufgebaut und sozusagen gefragt, was es
27:44
machen soll. Und das ist halt krass, weil du
27:47
ja jetzt, man muss sich vorstellen, das wurde an
27:49
Tausende Kunden ausgerollt und du hast jetzt überall sozusagen
27:54
ne Angriffsfläche, wo du sagen kannst, ey, wenn du Kontakt zu
27:58
mir aufbaust, dann sag ich dir mal was du machen sollst.
28:00
Zu jedem Einzelnen sozusagen. Und das ist halt krass, weil
28:04
dadurch konnten sie Befehle abgeben, wie zum Beispiel das
28:08
Netzwerk scannen, Daten exfiltrieren, also wirklich
28:11
datenabfluss zu erzeugen, weiteren Schadcode nachzuladen.
28:16
Das ist nämlich auch das Ding, wir reden hier nämlich wirklich
28:19
von von Servern und von von automatisierten Updates, das
28:23
heißt, die konnten halt auch einfach weiteren Schadcode
28:25
nachladen, völlig krass und das eigentliche, was das Ganze auch
28:31
so unfassbar. Gefährlich Macht ist, du hattest
28:35
ja gesagt, Orion ist im Prinzip für die Netzwerküberwachung, das
28:40
heißt Du nutzt diese Software jetzt zum Beispiel beim Kunden,
28:44
um Netzwerküberwachung durchzuführen, also klassisches
28:48
Monitoring, zum Beispiel. Das Ding ist, dass damit
28:52
einherkommt, dass. Man Admin Zugriff hat in dieser
28:57
Software um auf alles zugreifen zu können.
28:59
Das heißt die Orion Software so gesehen hatte Admin Zugriff, das
29:04
heißt der Angreifer der jetzt genau dieses System infiltriert
29:08
hat, hat sozusagen den goldenen Schlüssel im Internetwerk um zu
29:13
sagen ich kann hier, ich habe auf alles Zugriff, ich kann hier
29:16
überall drauf zugreifen und. Und das auf diesen weit
29:21
gestreuten System. Ne.
29:23
Also es wurde jetzt, ich glaube 18000 mal wirklich Kunden, also
29:27
18000 Kunden waren betroffen, das heißt, so oft wurde das
29:29
ausgerollt und ich kann jetzt gezielt über diese Anfragen an
29:34
meinen. Schadserver sage ich mal, hier
29:37
wie immer hinten rechts in der Ecke, der Server ist Schuld, der
29:40
Server Running GAG, da ist der böse Server 5 wieder und der
29:44
wird gefragt, genau Server 5 und der wird gefragt, was soll ich
29:48
machen na weißt du, ich werde dich jetzt mal gezielt
29:52
aktivieren auf dem Ziel, da habe ich nämlich Lust, dass du mal
29:55
das Netzwerk Scannst beim anderen, du wirst jetzt mal mir
29:58
gewisse Daten geben und so weiter und das ist halt völlig
30:03
krass am Ende. Ja, vor allem das Interessante
30:06
ist ja zum Beispiel also der die höchste Form eines Hacks ist ja
30:09
wirklich sozusagen, dass du Code executen kannst am Ende, das ist
30:14
ja eigentlich immer das, ich sag mal, wenn man jetzt, wenn jetzt
30:19
Hacker irgendwie was erreichen wollen, dann ist das ja
30:22
eigentlich immer so, dass das ist ja der heilige Gral, am Ende
30:25
ne so Daten abrufen, das ist eine ne, also einfach nur zu
30:28
lesen, aber wirklich. Code auszuführen, also sozusagen
30:32
die komplette Kontrolle über das infiltrierte System zu haben,
30:36
das ist natürlich das das Allerbeste, was du sozusagen
30:39
jetzt, also in Anführungsstrichen, aus Hacker
30:41
Sicht haben kannst, ne, und weil dann ist alles möglich, genau,
30:45
und das ist ja also ne, weil du ja meintest, Schadcode
30:49
nachzuladen, Schadcode auszuführen, um das überhaupt
30:52
machen zu können, brauchst du ja meistens halt eben auch sowas
30:55
wie Zug, also Zug oder oder Rechte für die Execution von
31:00
Dateien und. Und das hast du ja unter
31:02
Umständen als aus einem gewissen Userprofil heraus dann nicht.
31:07
Und deswegen ist es halt so interessant gewesen, dass diese
31:11
diese diese Orion Software halt eben auch Admin Zugriff hat.
31:14
Ne, weil Admin hat im Normalfall eben die ganzen Rechte, wie zum
31:18
Beispiel auch die Ausführung von bestimmten Files, das ist halt
31:21
das Spannende dann an der ganzen Geschichte.
31:26
Jetzt kann man sich natürlich fragen, OK, das ist alles krass,
31:30
aber wie, wie ist das überhaupt möglich zu dem Punkt zu kommen,
31:34
ne, dass jetzt die Angreifer solche Angriffe auch fahren
31:37
konnten, deswegen möchte ich das ganze mal ein bisschen technisch
31:40
aufrollen mit dir und zwar wie hat man das jetzt eigentlich
31:44
geschafft und die Antwort liegt darin, dass wie gesagt der
31:48
Bildprozess für diese Updates. Der Orion Plattform infiltriert
31:53
wurde. Also wie gesagt, es handelt sich
31:55
quasi um einen Supply Chain Angriff und ich denke das ist
31:58
jetzt n guter Zeitpunkt um noch mal n kleinen Exkurs zu machen
32:01
was eigentlich dahinter steckt. Also im Prinzip sagt das aus,
32:05
dass das Ziel deines Angriffes. Nicht der Endkunde ist, von dem
32:10
Du eigentlich zum Beispiel Daten haben möchtest.
32:12
Ja, also Ziel war jetzt nicht direkt NUS Ministerium
32:16
anzugreifen oder Microsoft oder Intel oder was wir alles gesagt
32:20
haben, sondern Ziel war eine vorgelagerte Komponente in
32:25
dieser Softwarelieferkette anzugreifen, um dann am Ende die
32:30
Daten von beispielsweise Microsoft zu bekommen.
32:33
Das heißt, das Angriffsziel ist dann oft eher sowas wie ne CICD
32:38
Pipeline, also Bildsysteme oder Update Server oder vielleicht
32:42
auch so Open Source. Lips hatten wir ja auch schon
32:44
besprochen, ich sag nur log for Shell, das ist halt im Prinzip
32:49
das gefährliche dabei, dass es kein direkter Angriff ist,
32:53
sondern so indirekt zum Kontakt mit dem Opfer kommen.
32:57
Ja, wenn du dir das zum Beispiel vorstellst, bei sagen wir mal,
33:00
du hast irgendwie. Welche Bauarbeiter zu Hause ne,
33:04
die weiß ich nicht irgendwas renovieren bei dir ne und dann
33:07
beauftragst du zum Beispiel ne Firma, ne Baufirma wo du genau
33:10
weißt der kann ich vertrauen so und diese Baufirma macht
33:14
irgendwas und dann also macht zum Beispiel irgendwie keine
33:17
Ahnung verleg deinen Boden, malert dir die Wände und macht
33:20
noch n bisschen was mit der Elektrik so ne aber diese
33:22
Baufirma organisiert das alles ne und du weißt aber OK diese
33:26
Baufirma weiß nicht da. Viele haben da schon
33:29
mitgearbeitet. Ich kenn die auch schon n
33:31
bisschen, ich kenn da vielleicht sogar den Jochen, keine Ahnung
33:36
der da arbeitet. Ne Mensch, das ist auf jeden.
33:38
Fall n Haus. Das ist auf jeden Fall ne tolle
33:40
Firma. Ist alles gut, ne und dann ist
33:42
es aber um das jetzt so diesen kleinen Vergleich zu bringen.
33:46
Die Baufirma beauftragt wiederum zum Beispiel irgendwie n
33:49
Elektriker ne der dann die Elektrik machen soll und du
33:53
kennst als. Privatperson diese Elektrofirma
33:56
gar nicht. Du hast gar keinen Plan davon ne
33:59
und vertraust. Aber dieser Firma, der Baufirma,
34:02
weil die ist ja gut so, also wird die ja wohl auch dann
34:05
sozusagen in ihrer, ich nenn es jetzt mal extra Lieferkette eben
34:08
halt auch die richtigen Leute ranholen.
34:11
Und jetzt? Ist aber zum Beispiel diese
34:13
Elektrofirma, die im Endeffekt ja kein Angriff ne auf mich
34:16
selber fährt, also auf mich persönlich, sondern auf diese
34:19
Baufirma und sagt, EY, Wir sind Elektriker, auf jeden Fall, aber
34:23
wir haben böse Absichten, aber das sagen wir denen nicht, und
34:25
dann kommen die zum Beispiel installieren irgendwie die
34:27
Elektroleitungen, machen aber zusätzlich installieren
34:30
irgendwie keine Ahnung, ne kleine Kamera irgendwo in dein
34:33
Haus und irgendwie n weiß ich nicht.
34:36
Eine Anlage, die wo du irgendwie, also irgendwas womit
34:39
du die Alarmanlage ausschalten kannst oder was auch immer,
34:41
damit du dann zum Beispiel sehen kannst, okay ist jemand im Haus
34:43
und vielleicht kann ich sogar noch die Alarmanlage ausschalten
34:46
und dann kann ich einbrechen. So heißt im Endeffekt du als
34:50
Person Beauftragst eine Firma, der du vertraust.
34:52
Irgendwo in dieser Lieferkette gibt es einen Elektriker, der
34:56
sich ausgibt als ja wir sind. N gutartiger Elektriker
34:59
sozusagen. Und das Ende vom Lied ist aber,
35:02
dass du sozusagen ausgeraubt wird wirst, obwohl du aktiv gar
35:05
nicht angegriffen wirst. Unbedingt, sondern der Angriff
35:08
geht ja von der Elektrofirma auf die Baufirma, aber das Opfer
35:11
bist im Endeffekt du, ne, so ungefähr kann man sich das dann.
35:15
Vorstellen also, das Alarmanlagenbeispiel ist halt
35:18
eigentlich ganz cool, weil im Prinzip gibst du den Auftrag.
35:21
Ja, ich möchte sowas installieren in meinem Haus, die
35:25
Baufirma sagt ja, wir haben hier Alarmanlage von Firma XY bauen
35:29
wir die ein, so und wenn jetzt aber denn die dritte Firma wie
35:31
du meintest anfängt da irgendwelche Backdoors
35:33
einzubauen ohne das Wissen von deiner Baufirma, dann denkt die
35:37
sich natürlich weiter hey hier hast du mein System und du
35:39
denkst dir wow ja Mann ihr seid doch.
35:42
Ich weiß nicht, vertraue ich schon seit 10 Jahren.
35:43
Das System wird super sein und am Ende weiß aber keiner, dass
35:47
über diese Baufirma diese Schadsoftware in dein Haus
35:49
gekommen ist und dann im Prinzip du ausspioniert werden kannst
35:52
beispielsweise oder im Zweifelsfall, dass die
35:55
Alarmanlage abgeschaltet wird. Halt ne, also wenn es halt hart
35:58
auf hart kommt. So und das ist halt das
36:00
gefährliche dabei, es ist schwer nachzuvollziehen, es ist schwer
36:02
zu entdecken und du hast halt immer dieses Vertrauensproblem
36:07
am Ende was also Vertrauen ist ne gute Sache, aber.
36:11
Ich sag mal so blindes Vertrauen eben halt nicht.
36:13
Ja und jetzt wie haben Sie das gemacht?
36:15
Sie sind im Prinzip um jetzt wieder auf solarwinds zu kommen,
36:18
genau da an der Stelle wurde angesetzt und zwar in diesem
36:21
Herstellungsprozess, also der Bildprozess wurde infiltriert
36:26
und beim Erstellen der Updates wurde quasi dann automatisch
36:31
Malware integriert. Wir hatten ja gesagt, sie hatten
36:34
anfangs erst mal angefangen so. Lass mal n bisschen Code
36:36
hinzufügen, gucken ob das Ganze läuft.
36:39
Nicht auffällig, immer ganz immer peur Peso ja und im
36:42
Prinzip lief es dann so, dass Malware.
36:48
Im Hintergrund auf den Bildservern lief, das heißt, die
36:52
Waren auf den Bildservern haben den infiziert und haben
36:55
angefangen fehlerhafte Updates zu bauen.
36:58
Ne beispielsweise wurden Dateien zur Kompilierzeit ausgetauscht,
37:01
auch Superkrass, das heißt du du kompilierst gerade deine
37:05
Software und denkst eigentlich wenn das jetzt zum Beispiel auf
37:07
dem Bild System läuft so ja na ja, wir wissen ja wie unsere
37:10
Software aussieht und die Dateien werden jetzt gebaut,
37:12
dieser Source Code wird gebaut und dann haben wir am Ende
37:15
dementsprechend unsere Software. Als Artefakt, was wir ausliefern
37:19
können als Update zum Beispiel ja, was aber nicht bemerkt
37:23
wurde, ist, dass jetzt aber Daten nah ausgetauscht wurden,
37:25
Source Code wurde ausgetauscht und es wurde eigentlich n
37:27
bisschen was anderes kompiliert, immer so n bisschen weißt du und
37:30
am Ende kam ja trotzdem ein Artefakt zum Beispiel n Update
37:33
raus, was im Prinzip erfolgreich war, also der Build war
37:39
erfolgreich und du gehst davon aus, dass auch das gebaut wird
37:42
was du annimmst. Was gebaut wird war aber nicht
37:45
der Fall. Das heißt, keine Fehler im Bild,
37:48
keine Verdachtsmomente, ganz einfach so zu dem Zeitpunkt.
37:52
Ja, du hast dir gedacht, ja Pipeline ist grün, alles gut,
37:56
Siegel drauf wie du so schön meintest, das heißt das Update
37:59
wurde signiert und kam sozusagen für alle Kunden von offizieller
38:03
Quelle. Und das macht es halt unfassbar
38:06
gefährlich, da man ja wie gesagt Vertrauen in dieses Update
38:08
hatte, weil es ein offizielles Solar Wins Update war.
38:11
Ich meine, du musst es ja immer so vorstellen, wenn du irgendwie
38:14
eine Anwendung entwickelst. Und du hast vielleicht irgendwie
38:16
eine CD Pipeline aufgesetzt, die dafür sorgt, dass halt eben
38:19
deine Anwendung die Ploid wird oder ein Update quasi
38:23
eingespielt wird oder zur Verfügung gestellt wird.
38:26
Wie auch immer, dann gehst du im Normalfall nicht davon aus, dass
38:30
wenn deine also. Ich.
38:33
Ich rede jetzt mal von mir, aber wenn du jetzt eine Pipeline hast
38:36
und die ist grün, dann hinterfrage ich im Normalfall
38:40
nicht noch mal. Hat das jetzt wirklich geklappt,
38:43
weil du hast ja deine Pipeline selbst gebaut, die halt am Ende
38:46
grün ist. Ne, es ist gut gelaufen, ist
38:48
grün gelaufen, so wenn irgendwas nicht geklappt hätte, wäre sie
38:50
ja wohl rot gelaufen ne und da kann man jeder ja mal für sich
38:55
selber überlegen, gerade im Def Ops Bereich wie stark man seiner
38:59
Pipeline eigentlich vertraut und.
39:01
Und wenn du jetzt zum Beispiel nicht weißt, dass deine Pipeline
39:05
infiltriert, hast du durchaus ein krasses Problem.
39:08
Für mich heißt es aber auch gleichzeitig wieder, dass im
39:11
Endeffekt, wenn du dir wirklich mal überlegst, wo eigentlich die
39:14
Schwachstelle oder das Problem lag, die lag ja eigentlich gar
39:18
nicht an Orion selber so, sondern die lag ja eigentlich in
39:23
der Pipeline, in in dem ganzen Bildserver in der Bildumgebung.
39:27
Und dann finde ich es auch wieder irgendwie ein
39:30
interessantes Gedankenexperiment zu sagen, ja, pass auf.
39:33
Natürlich ist es wichtig, dass deine Software so wie sie ist,
39:37
jetzt vielleicht nicht unbedingt angriffsvektoren bietet, wo du
39:40
irgendwie als Angreifer sozusagen Fläche bietest, um
39:44
angegriffen zu werden, weil das ist ja deine Software, aber
39:48
genauso würde ich sagen, ist. Die cicd Pipeline auch irgendwo
39:52
eine Art Software. Ich nenne es jetzt mal
39:54
übertriebene Art Anwendung in Anführungsstrichen, die du
40:00
benutzt um deine eigentliche Anwendung sozusagen zu bauen und
40:03
zu Deployen und das absolut teilweise sogar noch viel viel
40:08
krasser, weil im Normalfall hast du im.
40:12
Im Optimalfall auch verschlüsselt oder so.
40:14
Aber du hast ja um deine Pipeline um alles Mögliche zu
40:16
machen, zum Beispiel du, du willst irgendwie, wenn du deinen
40:18
Source Code bauen willst, musst du ihn auschecken, das heißt du
40:21
brauchst irgendwo einen Secret um mit diesem um irgendwie an
40:24
deinen Code ranzukommen. Du willst zum Beispiel irgendwie
40:27
was signieren, also brauchst du wieder irgendeinen Schlüssel um
40:30
deine Anwendung zu signieren, du brauchst immer irgendwie diese
40:32
ganzen Credentials, diese ganzen Secrets in deiner Pipeline in
40:37
deiner Bildumgebung. Demzufolge bedeutet das ja
40:39
eigentlich, dass deine Bildumgebung an sich schon
40:43
eigentlich die absolute Schwachstelle ist, oder das?
40:47
Sagen wir mal die Region of Interest für Hacker, wenn man es
40:50
mal so sieht, ne und gar nicht unbedingt die Anwendung selber.
40:54
Ja, das ist ja auch der Grund, warum so Death of Security halt
40:57
auch immer wichtiger wird, ne und immer n größeres Thema wird,
41:00
weil es halt wirklich so n großer Teil.
41:04
Des Softwareprojekts ist ja jetzt wahrscheinlich nicht die
41:07
Software, die du baust. Logischerweise wie du gerade
41:09
meintest, aber halt an sich so ein großer Teil des
41:12
Gesamtprojekts ist der Halt einfach auch angreifbar ist.
41:15
Wie wir jetzt in dem Fall sehen und da ist halt die Frage, was
41:21
kann man da so machen, da kommen würde ich würde ich sagen am
41:24
Ende mal drauf ne also es gibt ja natürlich Punkte Learnings
41:28
wie du anfangs meintest die man daraus ziehen sollte ich.
41:31
Ich würde gerne aber noch auf einen Punkt vorher eingehen.
41:34
Und zwar kann man sich ja jetzt denken, OK, es ist das Kind ist
41:37
in Brunnen gefallen, wie man so schön sagt, die Software ist
41:40
infiziert und wird ausgerollt, weil wie gesagt der Bildprozess
41:46
quasi Schadsoftware beinhaltete. Warum haben die Kunden das aber
41:51
so lange nicht gemerkt? Das ist jetzt die nächste Frage,
41:53
ne. Du kannst sagen, OK, es ist
41:55
passiert, aber warum auf Kundenseite, wo das Update
41:59
ausgerollt wurde, warum wurde es da nicht bemerkt und das finde
42:01
ich ist dann nämlich auch noch n spannender Punkt paar Sachen
42:04
hast du noch die eigene? Also sag ich jetzt mal so.
42:07
Also paar Sachen sind ja liegen, ja würd ich würd ich sagen jetzt
42:11
schon mal auf der Hand. Also zum einen hast du halt
42:12
diese vertrauenswürdige Seite, dass du davon ausgehst.
42:15
OK das das das kennen wir. Ne, das ist das kommt von
42:19
vertrauenswürdiger Seite und dann hatten wir noch das
42:22
sozusagen das Tool oder diese diese Trojaner eigentlich erst
42:25
verzögert angefangen hat zu arbeiten beispielsweise.
42:28
Das sind ja zumindest schon mal Dinge, die ja irgendwie damit
42:32
definitiv reinspielen, dass das zum Beispiel spät bemerkt wurde.
42:36
Genau, also du hast halt digitale Signatur.
42:39
Ist diese scheinbare Sicherheit, die wir besprochen haben.
42:41
Das stimmt. Dadurch, dass es signiert war,
42:45
hast du natürlich auch zum Beispiel keine Anschläge im
42:48
Virenscanner oder in Firewalls, ne, weil es war ja offiziell
42:51
zugelassen. Das spielt natürlich dem Hack
42:54
ordentlich in die Karten und natürlich auch der Admin
42:56
Zugriff, den wir schon besprochen hatten, weil du halt
42:59
einfach per Design Admin Zugriff hattest und dadurch waren zum
43:03
Beispiel auch keine weiteren Exploits nötig oder irgendwie,
43:06
du hattest ja einfach schon direkten Zugriff durch die
43:09
Privilegien, die du als Admin hast.
43:12
Aber es gibt noch so andere Punkte, die einfach zeigen, dass
43:14
da auch wirklich Profis am Werk waren.
43:16
Und zwar hatte Sunbirst als Malware auch n paar
43:19
Eigenschaften, die ich sehr spannend fand erstmal.
43:24
Es war natürlich wieder so typische Windows Tarnung Windows
43:27
Dienste, es war n Windows Dienst ne, damit hast du ja schon mal
43:29
so n bisschen so offizielle Tarnung sag ich mal.
43:32
Dann finde ich es auch spannend, dass die Malware.
43:37
Scheinbar verzögert startete um so ersten Analyse Tools aus dem
43:42
Weg zu gehen. Ne also zum Beispiel du startest
43:45
was es laufen n paar Checks, aber die Malware ist noch nicht
43:48
am Start, das wird noch abgewartet, das ist ja das
43:50
siehst du, dass das halt richtig geplant war und man wusste wie
43:53
das System auch funktioniert ne um sowas überhaupt umgehen zu
43:56
können, es wurde die. Die Umgebung geprüft worauf
44:01
laufe ich gerade eigentlich? Ja, bin ich in der Sandbox, bin
44:04
ich in einem Testsystem, laufe ich produktiv, das finde ich es
44:08
halt auch superkrass, dass im Prinzip eine Inaktivität
44:11
stattgefunden hatte, wenn man wusste, ey, ich bin hier gerade
44:14
auf in Analysen unterwegs, ja, also auf n Testsystem
44:18
beispielsweise oder so, wo wirklich mehr Tests laufen, dann
44:21
wurde das Ding gar nicht aktiviert.
44:23
Das ist halt superkrass am Ende ne und was natürlich auch n
44:27
Klassiker ist. Der Schadcode lief halt im RAM
44:30
und nicht sozusagen auf der Festplatte oder aus den Dateien
44:33
heraus, was das Ganze auch noch schwerer nachweisbar machte.
44:37
Das heißt man kann wirklich sagen, es war wirklich
44:38
hochprofessionelle Malware am Ende.
44:40
Mit guter Vorbereitung und guter Durchführung.
44:43
Ja, aber es ist ja trotzdem aufgeflogen.
44:46
Magst du mal sagen, wie wie es denn am Ende trotzdem Gott sei
44:49
Dank ja erkannt wurde? Also ich hab auf jeden Fall
44:53
auch. Gelesen, dass als erstes mal
44:57
oder so die der, der erst das erste Anzeichen wurde.
45:01
Ja, hatten wir ja vorhin schon mal gesagt, von von Fire Eye
45:06
sogar du hattest von 9.12. Glaube ich erwähnt, ich glaube
45:11
am 8. Dezember, wenn das jetzt so von
45:13
den von den Überlieferungen sozusagen richtig ist, wurde von
45:17
dieser Sicherheitsfirma irgendwie festgestellt und das
45:19
fand ich ganz interessant, dass irgendwie n unauthentifiziertes
45:23
oder n neues 2 Faktor gerät sozusagen von einem Mitarbeiter
45:27
irgendwie registriert wurde und dann hat halt einer in bei Fire
45:33
Eye hat sich gedacht und das war so der ursprüngliche Aufhänger,
45:36
so hab ich das zumindest verstanden, hat sich der von
45:38
Fire Eye gedacht Moment warum, warum ist das so?
45:42
Dann hat er den irgendwie gefragt und meinte so wie sieht
45:44
es eigentlich aus also? Hast du das gemacht?
45:46
Und ja, so, NÖ, eigentlich nicht und dann war es irgendwie so OK,
45:48
irgendwas ist komisch, ne und da wurde dann im Endeffekt auch so
45:52
n bisschen dann das ganze n bisschen näher verfolgt und oder
45:56
weiter recherchiert und dann kam sozusagen auch n Tag später zum
46:00
9. Dezember was du vorhin ja schon
46:01
angesprochen hattest, ne? Und das ist halt das Spannende.
46:05
Ne, es waren keine automatischen Scans oder irgendwelche
46:08
Überwachungsfunktionen, sondern wirklich dieser Zufall, dass
46:12
sich n Mitarbeiter dachte. Irgendwie traue ich dem ganzen
46:16
hier nicht. Ja, manuelle Arbeit am Ende hat
46:19
das aufgedeckt, also auch so n Glücksfall, dass genau das
46:23
passiert ist. Um das überhaupt zu erkennen, ja
46:24
ja, das ist halt sowieso finde ich oft auch irgendwie krass,
46:27
dass gerade wenn solche Angriffe gut gefahren werden, dann werden
46:32
sie ja auch im Endeffekt auch mit dieser Vorbereitung darauf
46:35
ausgelegt, dass sie halt möglichst unentdeckt bleiben und
46:38
das dann am Ende zu entdecken ist halt.
46:41
Hat halt genau dann nichts mehr mit irgendwelchen
46:43
Automatisierungen zu tun, weil sonst wäre es halt einfach zu
46:46
einfach. Weißt du genau, aus diesen
46:48
Gründen hast du dann leider eigentlich und in dem Fall Glück
46:53
gehabt, dass es überhaupt jemand irgendwie erkannt hat, weil wenn
46:57
man das Ganze sicher, also manchmal muss man sich auch mal
46:59
fragen, da ist jetzt zum Beispiel ein neues Gerät, so wie
47:04
oft fragt man sich dann am Ende wirklich ne?
47:09
OK ist das war das jetzt irgendwie was Interessantes.
47:11
Ist das jetzt ne Anomalie in Anführungsstrichen oder nicht?
47:14
Weil man könnte sich auch relativ schnell hinstellen und
47:17
sagen ja OK hat er wahrscheinlich gemacht, passt
47:20
schon ne vielleicht nicht unbedingt.
47:21
Bei einem größeren Unternehmen halten.
47:23
Genau, also vielleicht nicht unbedingt bei einer
47:25
Sicherheitsfirma, ne, wo man vielleicht noch n bisschen
47:28
sollte man zumindest mein geschulter darauf ist, dass man
47:31
sagt, OK, irgendwie könnte das komisch sein, ich frag mal
47:33
lieber nach, aber. Aber so insgesamt finde ich das
47:36
manchmal schon interessant, welche Zufälle dann dann doch
47:39
auftreten und passieren, dass das erkannt wird.
47:41
Ne, also diese manuellen Identifikationen nenne ich das
47:46
jetzt mal. Ja, und jetzt ist die Frage, was
47:52
für Auswirkungen Dimensionen hatte das um einfach mal
47:54
wirklich verständlich zu machen, wie krass die.
47:59
Dieser Hack war also ja, man hat es jetzt gefunden, es wurde
48:02
aufgearbeitet, man hat versucht, das ganze Halt zu bereinigen,
48:06
logischerweise, man denkt sich ja nicht so, ja ja gut, dann ist
48:08
es halt so jetzt ne, also man konnte halt jetzt aktiv dagegen
48:12
vorgehen, aber monatelang war halt wie gesagt die Tür offen
48:15
für die Hacker und Auswirkungen kann man sagen mindestens 9 US
48:21
Bundesbehörden waren betroffen und circa über 100 große Firmen
48:25
nach Recherchen und. Im Prinzip ne weltweite
48:30
Verbreitung. Ja, also man muss halt sagen,
48:33
dass auch Europa und auch wahrscheinlich Deutschland
48:36
betroffen war. Also wir reden hier nicht nur
48:38
von der USA. Und über Monate sind halt
48:40
wirklich Daten abgeflossen. E.
48:42
Mails, Dokumente, strategische Infos, ne.
48:45
Also gerade bei den US Behörden ist das Halt n riesen Supergau
48:48
am Ende. Auch Microsoft bestätigte zum
48:50
Beispiel, dass Teile des eigenen Quellcodes, dass darauf
48:53
zugegriffen wurde. Ja, ist schon krass, ne.
48:55
Und die Frage ist natürlich, wer war das ganze und das finde ich
48:58
halt auch super spannend. Es gibt offiziell kein.
49:03
Schuldigen nachweislich aber aus Quellen des US Geheimdienstes
49:09
wurden im Prinzip der russische Geheimdienst beschuldigt, also
49:14
auch offiziell beschuldigt. Es gab auch Sanktionen und alles
49:18
und dahinter sollte wieder der ein oder andere hat
49:22
wahrscheinlich schon mal davon gehört, wieder eine.
49:26
Regierungsgestützte Organisation dahinter stecken, und zwar
49:29
Cosybär und das macht die Sache halt noch viel brisanter und
49:33
heftiger. Wer sich fragt, was ist Cosybär,
49:37
da können wir beide, wir haben sie beide gesehen, wärmstens die
49:41
ARD Doku Putin sparen empfehlen, also Liebe zuhören, Liebe
49:45
zuhören, falls du sie nicht kennst, schau sie dir mal an,
49:47
ist ne sehr sehr gut gemachte Doku und da geht es halt im
49:49
Prinzip um offizielle Regierungshackerteams.
49:55
Aus Russland. Und die wurden halt auch
49:56
beschuldigt, was natürlich auch dafür spricht, dass es halt so
50:00
hochprofessionell und geduldig ablief.
50:02
Ja, also das, wir hatten ja gesagt, das riecht ja schon
50:05
danach, dass da ne professionelle Organisation
50:08
dahinter ist. Und Fakt ist, dass der Umfang,
50:12
die Ressourcen und auch diese Präzision in diesem Hack ja auch
50:17
einfach so den das Maß aller Dinge.
50:21
Drängen würde, wenn das jetzt so private Akteure gewesen wären.
50:24
Das hätte man, so glaub ich, auch gar nicht umsetzen können.
50:26
Allein schon dieser Geduldsfaktor ne hatten wir ja
50:29
gesagt, es gibt so n paar Hacks in der Geschichte, wo sag ich
50:32
mal so Kids das gemacht haben, aber die haben ja völlig die
50:34
Nerven verloren dabei und sind dann gleich überall
50:37
hingeschoben, die hatten einfach nicht die ruhigen Hände für sein
50:39
Manöver, ganz genau. Ja, und ganz klar war ja auch
50:45
Datenspionage das Ziel. Es gab keine Geldforderung, es
50:48
wurde nichts zerstört, es war einfach nur, wir wollen lange
50:51
unbemerkt bleiben und spionieren am Ende.
50:54
Ja, also da, also gerade wenn du in sagen wir mal regierungs
51:00
Institute irgendwie dich rein hackst oder in große große
51:05
Firmen sei mal dahingestellt ne, ob jetzt sozusagen es dann
51:10
wirklich die. Diese, dieser, diese cosy Bär,
51:15
wie nennt man das? Vereinigung Organisation war
51:19
dann am Ende oder irgendjemand anders, man weiß es halt nicht
51:23
hundertprozentig genau oder es wird halt vielleicht nicht
51:25
hundertprozentig offengelegt, aber am Ende denk ich mir so,
51:31
welche Privatperson beispielsweise würde sich denn
51:34
zum Beispiel da einhacken wollen?
51:36
Also erstens hast du richtig große Probleme, wenn du das
51:39
schaffst Punkt 1 und Punkt 2 ist.
51:42
Welche Daten interessieren einen denn da?
51:44
Also ich sag mal die wie sagt man also dieses Risiko ne, dass
51:51
du erkannt wirst und was hinterher ich sag mal mit dir
51:53
passieren würde wenn du das schaffst.
51:56
Ich weiß nicht ob sich das lohnt da an Daten ranzukommen nur weil
51:59
es irgendwie witzig wäre ne deswegen spricht das ja schon
52:03
etwas dafür, also da wurde ja teilweise sogar auch ich glaube,
52:09
dass. Wie nennt sich das nukleare?
52:13
Also ich sag mal ein eine Abteilung für die nukleare
52:17
Sicherheit und auch die ganze Nuklearkraft.
52:21
Nenn ich das jetzt mal der USA sogar angezapft, wo man sich
52:24
dann auch denkt, so OK krasse Scheiße, da ist n Brett.
52:28
Ja das ist auf jeden Fall. Ich hab auch ne ich hab auch ne
52:31
sehr coole Analogie gelesen um das Ausmaß.
52:35
Mal begreiflich zu machen, wenn man sich jetzt einfach
52:38
vorstellt, du hast so n weit verbreitetes Medikament, was so
52:42
sehr viel in der Bevölkerung genommen wird, ne, dann war
52:45
dieser Angriff im Prinzip nicht das Glas Wasser zu vergiften von
52:50
demjenigen, der gerade das Medikament einnimmt, sondern
52:52
diese ganze Medikamentenfabrik wurde vergiftet, ne und alle
52:55
Patienten oder Nutzer dieser Medikamente.
52:59
Haben dann halt Schadstoff unbemerkt eingenommen, aber du
53:02
kriegst dann halt wie gesagt Deine Tabletten, nimmst die
53:04
Wasser hinterher und fertig und das zeigt einfach dieses diesen
53:08
krassen Impact auf diese ganze Sache.
53:11
Was für Möglichkeiten dadurch entstanden sind fand ich, war
53:14
halt auch eine sehr coole Analogie, wollte ich einfach
53:16
noch mal anbringen an der Stelle und die Bereinigung wurde halt
53:20
auch als äußerst schwierig eingestuft, das heißt die Cyber
53:25
Security and Infrastructure Security Agency.
53:28
Hat gesagt, eine vollständige Entfernung sei nahezu unmöglich
53:33
und das ist krass. Das ist halt einfach krass.
53:35
Ja, ich mein es. Irgendwie ist es ja auch
53:37
logisch, weil wenn du irgendwie ein System hast.
53:40
Also ich hatte irgendwann mal einen bekannten, sag ich jetzt
53:45
mal, der hatte wohl auch irgendwie einen Rechner, der
53:47
irgendwie indiziert war mit irgendwas ne und ich hab.
53:52
Mich dann gefragt okay würde ich selber diesen Rechner
53:55
irgendwann, selbst wenn ich ihn zurücksetze noch mal verwenden
53:58
und irgendwie war meine Antwort würde ich nicht machen, weil du
54:01
irgendwie halt eigentlich gar nicht in der Lage bist so
54:05
richtig zu verifizieren ist da jetzt noch irgendwo was drauf
54:09
oder nicht? Weil manchmal kannst du gar
54:11
nicht so blöd denken, dass vielleicht noch irgendwo wieder
54:15
eine Vector eingebaut wurde und. Und das finde ich manchmal schon
54:19
echt krass. Das heißt, wenn du sagst, dein
54:21
System wurde wirklich infiltriert oder n Rechner ne
54:23
Recheneinheit, da läuft irgendwie Schadcode drauf, du
54:26
hast irgendwie n Trojaner da drauf, kann es natürlich sein,
54:30
dass du es schaffst das komplett einzudämmen und komplett zu
54:34
entfernen, aber es kann halt auch einfach sein, dass nicht
54:36
und dann ist halt immer wieder die Frage OK, wenn ich das jetzt
54:40
eindämme und ich schaffe es mit einer Wahrscheinlichkeit zu.
54:44
95%, aber du hast vielleicht irgendwelche nuklearen
54:47
Abschusscodes da drauf. Ich übertreib jetzt mal extra
54:49
ne, ist es da eigentlich vielleicht sinnvoller sich
54:52
irgendwie n neues System zu kaufen?
54:54
Aber da ist halt die Frage, wie gut man das eindämmen kann.
54:57
Ne, also klar, wenn es jetzt ein sag ich mal ein Desktop PC ist,
55:01
dann setzt du den neu auf und fertig.
55:03
Aber wenn es schon wirklich in deinem Netzwerk war und alles
55:05
dann weißt du ja gar nicht wo noch irgendwo was
55:07
zurückgeblieben ist. Aber.
55:09
Weißt du, was ich mich gefragt hab?
55:11
Ich hab mir gedacht, OK, pass auf, wenn du dir jetzt diese
55:14
diese Geschichte anhörst und sagst OK pass auf, du hast n
55:18
Software Fail sagst du Big Software Fails, aber was ich
55:22
jetzt gerade gehört hab ist ja eigentlich ne reine Hacker Story
55:27
so ich meine gut wenn du gehackt wirst hast du wahrscheinlich
55:31
immer irgendwie n kleines Problem mit deiner Software mal
55:34
davon ab aber und wir könnten jetzt mal fragen was.
55:37
Warum gibt es denn irgendwo? Also gibt es wirklich irgendwo
55:40
Fails in dieser Story, wo man sagen kann, okay, da sind
55:44
wirklich grobe Patzer passiert, dass es überhaupt so einfach
55:47
war, das Ganze zu hacken, oder ist es vielleicht einfach nur
55:50
so, dass die, die das gemacht haben, super gut waren und man
55:55
es eigentlich hätte gar nicht großartig verhindern können?
55:59
Genau, also lass uns mal zu dem Punkt kommen, was da jetzt genau
56:02
schief gegangen ist. Was wie du meintest der Fail ist
56:04
und was man daraus lernen kann. Dass er so die Take Home Message
56:09
dieser Folge, sag ich mal, im Prinzip lag der Fail in der
56:13
kompletten Sicherheitskultur von solarwinds, das muss man einfach
56:18
so sagen und da sind so im Nachhinein, also ich sag mal bei
56:21
so einem krassen Fall, wenn so US Behörden und so betroffen
56:24
sind, dann wird das natürlich auch richtig aufgerollt, das
56:28
heißt, da ging Solarwind natürlich auch ordentlich an
56:30
Kragen, muss man einfach so sagen und da sind Sachen
56:32
rausgekommen, wo man sich einfach n Kopf fest und sich
56:34
denkt. Was zur Hölle ist bei euch los?
56:38
Bestes Beispiel, es wurde festgestellt, dass es ein
56:43
öffentlich bekanntes Passwort für den Update Server gab und es
56:48
ist wirklich schehhaft das Passwort war Solar wins 103 und.
56:52
20 ich hätte gedacht 1234. Und das war wahrscheinlich die
56:56
Security dahinter, dass sie die 4 weggelassen haben.
56:59
Aber da denkst du dir halt schon so what?
57:02
Als. Also wirklich so der erste
57:03
Moment, wo dir denkst was, aber es wird noch besser.
57:08
Angeblich wurde dieses dieses Passwort von einem Praktikanten
57:12
vergeben, der es öffentlich auf github committed hatte, das ist
57:17
schon der nächste watch Moment. Das kannst du natürlich jetzt
57:20
nicht machen. Das ist, das ist halt so krass.
57:23
Und dann wurde natürlich erst das Ganze durch Druck der
57:26
Ermittler eingeräumt. So ne also solarwinds hat
57:29
versucht das zu vertuschen, weil die haben das natürlich dann
57:31
selbst für sich in. Intern aufgeräumt gehe ich ganz
57:34
stark von Aus, haben das gesehen und haben sich dann noch so
57:37
gedacht. Oh mein Gott, wenn das
57:39
rauskommt, aber durch den Druck der Ermittler, wie gesagt US
57:41
Behörden involviert ist das halt rausgekommen ja und man hat sich
57:46
dann noch versucht zu verteidigen, so was heißt
57:48
verteidigen, aber man hat halt gesagt ja aber gut der Account
57:50
war jetzt nicht maßgeblich involviert oder hatte irgendeine
57:54
direkte Verbindung, aber trotzdem ist das einfach schon n
57:58
massives Sicherheitsversagen gewesen.
58:01
Dass im Prinzip Keys ja also wirklich Passwörter öffentlich
58:06
zugänglich waren, ja, das spricht ja halt dafür, dass du
58:08
auf der einen Seite, wenn du n solarwind 123 Passwort angibst.
58:13
Spricht das ja zum einen dafür, dass es irgendwie gar keine
58:16
Passwort policy gab, weil ich weiß nicht.
58:19
Also selbst wenn du, dass das erlaubt ist.
58:21
Ja, selbst wenn du irgendwo n Passwort angibst ne oder du
58:23
musst doch n Passwort machen und das ist ja meistens so, es ist
58:26
rot. Also schwach mittelstark.
58:29
Und wenn ich das allein schon eingebe, in irgend so einer
58:31
Maske, denke ich mir allein schon, ja komm, also da will ich
58:35
auch ein starkes Passwort haben, so nach dem Motto, Weißt du und
58:38
gerade bei sowas musst du irgendwie eine Passwort policy
58:40
haben, wo du sagst okay das darf nicht einfach funktionieren.
58:44
Ja genauso mussten ja offensichtlich wurden entweder
58:48
schlechte oder keine Code Reviews durchgeführt, weil
58:51
irgendjemand hat ja oder dieser Praktikant hat ja offensichtlich
58:53
einfach dieses Passwort committed öffentlich ins Repo.
58:57
Übrigens hier auch noch mal, das macht man nicht.
59:02
Das. Macht man nicht und ich meine
59:05
entweder es gab kein Code Review, das heißt N Praktikant
59:08
hat einfach sensible Daten in die Cloud gepackt, entweder das
59:14
oder irgendwer anders hat es mit ihm gereviewt und das ist auch
59:19
nicht aufgefallen und das muss dann wiederum n schlechtes Code
59:21
Review gewesen sein. Gute Code Reviews haben übrigens
59:24
mal folgen gemacht, wollte ich nur sagen.
59:26
Genau. Wichtig ein zweiter Punkt ist
59:30
natürlich das fehlende Zero Trust denken.
59:33
Ne, also wir haben ja dieses königssiegel Beispiel gebracht,
59:36
das hat es eigentlich auch gut auf den Punkt gebracht, nur weil
59:38
da ein Siegel drauf ist, muss man ja nicht blind drauf
59:41
vertrauen, was in diesem Brief steht, ne, das heißt digitale
59:45
Signaturen reichen einfach nicht als Sicherheitsgarantie aus.
59:47
Ja es gilt Halt im. Im Prinzip wurde das Vertrauen
59:52
ja ausgenutzt. Das muss man einfach so sagen
59:54
und deswegen ist dieses Never Trust always Verify nötig, ne
59:58
also diese Zero trust Denkweise zu sagen, OK.
1:00:03
Ich weiß, es kommt von offizieller Quelle, aber ich
1:00:06
vertraue dir nicht. Ich muss es selbst noch mal
1:00:07
verifizieren, ob das für mich in Ordnung ist, was da jetzt kommt
1:00:11
und diese Denkweise ist halt enorm wichtig, gerade bei so
1:00:16
kritischen Systemen in. Bezüglich Updates definitiv.
1:00:19
Ich mein du hattest vorhin zum Beispiel auch noch mal als
1:00:21
dritten Punkt noch mal genannt Monitoring angesprochen.
1:00:24
Das war auch, würde ich sagen, schwach, jetzt aber nicht auf
1:00:27
der Seite unbedingt von dem Auslöser solarwind sozusagen,
1:00:31
sondern halt eben auch von den einzelnen Organisationen.
1:00:33
Aber es ist ja trotzdem irgendwo ein Learning oder ein etwas
1:00:36
Wichtiges, was was, was definitiv Fakt ist, ist, man
1:00:40
braucht halt eben oder man sollte immer gute Logs haben,
1:00:44
weil im Endeffekt kannst du dadurch halt auch besser
1:00:47
nachvollziehen, ob beispielsweise irgendwie Daten
1:00:49
abfließen. Oder ob irgendwas komisches bei
1:00:53
dir passiert, was eigentlich nicht hätte passieren sollen.
1:00:55
Also irgendwelche sagen wir mal keine Ahnung, anstieg von
1:00:59
irgendwelchen Prozessen, CP US oder was auch immer.
1:01:03
Also du musst halt irgendwie überwachen was passiert in
1:01:05
deinem System und treten ja Anomalien auf und das war wohl
1:01:10
dann offensichtlich auch von vielen Unternehmen,
1:01:13
Organisationen, die halt eben solarwinds verwendet haben,
1:01:17
wahrscheinlich auch wegen diesem Zero Trust denken.
1:01:20
Oder dem fehlenden Zero Trust denken halt eben gesagt haben
1:01:23
OK, passt schon ne. Ja, was hilft halt.
1:01:27
Und man muss natürlich sagen, einfach mehr die
1:01:30
Sicherheitskultur leben und auch mehr Verantwortung übernehmen,
1:01:33
ne, weil es gab halt auch interne Hinweise, die quasi von
1:01:38
Solar wins ignoriert wurden, weil es wurde auch irgendwie
1:01:41
festgestellt, dass um 2019, also davor auch schon Forscher
1:01:46
warnten, dass das Passwort öffentlich ist.
1:01:49
Ja, also es wurde ja gesehen und dann so.
1:01:52
Ja, wie heißt aber OK, also kommt ja keiner ran ans Repo so
1:01:56
ne und das ist halt natürlich überhaupt nicht die richtige
1:02:01
Denkweise, also lass uns mal zum Abschluss n Fazit ziehen, wir
1:02:04
sind auch schon wieder ziemlich fortgeschritten in der in der
1:02:07
Zeit, aber man muss einfach sagen es ist auch n großer Fall
1:02:10
definitiv also im Prinzip. Gilt Solar wins dieser ganze
1:02:14
Hack und die ganze Geschichte da drum als absoluter Weckruf in
1:02:17
der Branche muss man sagen, also wenn man darüber liest, merkt
1:02:21
man auch schnell, dass das sehr sehr viel angestoßen hat im
1:02:25
Nachhinein Richtung mehr Security ja gerade im Dev ops
1:02:29
Bereich, weil es halt einfach gezeigt hat wie verwundbar
1:02:34
selbstvertrauenswürdige it Systeme sein können es.
1:02:37
Ist halt einfach auch wichtig, sagen wir mal diese Supply.
1:02:41
Chain Security ernst zu nehmen und darauf zu gucken, OK, was
1:02:45
passiert hier eigentlich genau? Woher kommt was ne?
1:02:49
Also wenn wir jetzt noch mal auf die Analogie mit dem Handwerker
1:02:51
gehen, ist es natürlich gut zu sagen, OK ne die elektrofirma
1:02:57
macht ne gute. Macht n guten Eindruck, aber
1:03:00
vielleicht noch mal wirklich zu verifizieren, zu überprüfen und
1:03:03
vielleicht mit bestimmten Mechanismen zu gucken, ob es
1:03:06
denn wirklich eine vertrauenswürdige Firma ist und
1:03:09
sie nicht einfach nur den Anschein macht, weil es keine
1:03:11
Ahnung n Unternehmen ist. Also nach dem Motto Weißt du,
1:03:14
sondern halt wirklich eben genau dieses Supply dieser Supply
1:03:19
Chain Security ne hohe Priorität zuzuweisen und zu sagen, OK, wir
1:03:23
müssen uns darauf konzentrieren, das ist wichtig.
1:03:26
Wir arbeiten hier mit mehreren Sachen zusammen und die müssen,
1:03:29
wenn wir gerade es kommt, natürlich auch immer n bisschen
1:03:32
auf den Fokus drauf an. Aber gerade wenn du so ein
1:03:35
System hast, was als im Admin Modus läuft, was Sachen
1:03:39
überwacht, was was ne hohe sagen wir mal nen hohen Impact
1:03:43
generieren kann, dann ist es halt immer wichtig zu sagen OK
1:03:47
was könnte denn passieren und dann halt eben genau zu gucken
1:03:50
wie kann man denn sicherstellen, dass alles safe ist?
1:03:54
Ja. Absolut.
1:03:57
Man sieht ja an dem Beispiel, dass eine einzige Lücke in der
1:04:00
Lieferkette reicht, um weltweit Organisationen zu
1:04:02
kompromittieren, und das ist halt einfach ein Zeichen
1:04:06
Warnzeichen, wie wichtig das Thema ist.
1:04:08
Ne, also man muss einfach sagen als Entwickler auch ja gerade
1:04:13
jetzt so unsere Rollen oder vielleicht auch von dir, liebe
1:04:16
Zuhörer, liebe Zuhörer, es geht nicht nur darum bei.
1:04:18
Bugs zu finden und Bugs Fixes durchzuführen, sondern halt
1:04:23
wirklich Security by Design zu betreiben und auch in die
1:04:26
Richtung zu denken, dass man sich immer überlegt, wie kann
1:04:29
ich mein System wirklich sicher gestalten, denn Fakt ist, dieser
1:04:34
Hack ist so als Cyber Thriller in die Geschichte eingegangen,
1:04:37
leider ohne Happy End muss man sagen, weil es ist einfach nicht
1:04:41
klar was wirklich jetzt passiert ist.
1:04:43
Man weiß nur es wird eine Menge passiert sein und man wird es
1:04:46
nie richtig aufarbeiten können. Deswegen hat es so diesen
1:04:48
Thriller Charakter, weil man hat auch keinen Schuldigen irgendwie
1:04:51
am Ende so wirklich gefunden. Wie gesagt, es gab die
1:04:54
Anschuldigungen, es gab Sanktionen, man war sich
1:04:56
sozusagen sicher, aber von offizieller Seite gibt es keinen
1:05:00
direkten Schuldigen am Ende und damit würde ich sagen, können
1:05:04
wir das Thema auch beenden, hat mir mega Spaß gemacht, Fabi.
1:05:08
Ja, auf jeden Fall ist n sehr interessanter Fall und ich
1:05:13
hoffe, wir konnten alle ein bisschen was daraus lernen
1:05:15
beziehungsweise? Prophylaktisch auch für unsere
1:05:19
eigene Software zu gucken, OK, sowas sollte nicht passieren.
1:05:23
Wir müssen auf jeden Fall Fokus auf Security haben und ich würd
1:05:27
sagen Liebe zürer lieber zürer, wenn du auch schon mal
1:05:29
irgendwie, ich sag mal an bestimmte Punkte im Security
1:05:34
Bereich gekommen bist wo du sagst ja da hab ich auch schon,
1:05:38
da haben wir vielleicht bestimmte Dinge die wir
1:05:40
präventiv unternehmen oder? Da hatte ich schon mal einen
1:05:45
Fall, wo es fast schief gegangen ist.
1:05:47
Und das ist irgendwie spannend, wo du sagst, dass das das wär
1:05:51
mal eine Erwähnung wert, dann schreib uns auf jeden Fall gerne
1:05:54
auf irgendeiner Plattform Instagram, Discord oder auch die
1:05:59
Podcast Mail findest du alles in den Shownotes und.
1:06:03
Empfiehl auf jeden Fall den Podcast auch gerne weiter. 2.
1:06:06
Freunden, Freundinnen, es würde uns mega helfen, lass eine
1:06:09
Bewertung da und ansonsten also falls jetzt sagst Oh die haben
1:06:15
wir jetzt eine Stunde meiner Zeit geklaut, aber es war eine
1:06:17
coole Stunde, den würde ich gerne was Gutes tun, weil das
1:06:20
war echt eine tolle Sache, dann findest du auch einen kleinen
1:06:23
Spenden Link in den Shownotes und ansonsten hören wir uns aber
1:06:26
beim nächsten Mal wieder Vergesst nicht die Glocke an zu
1:06:28
machen um die nächste Folge nicht zu verpassen und dann ja.
1:06:32
Macht es gut soweit. Eure Coding war jetzt gemeinsam
1:06:35
besser.