Umgehung der Multi-Faktor-Authentifizierung: Lehren aus den größten Multi-Faktor-Authentifizierungs-Sicherheitslücken aller Zeiten

Kurze Frage: Wenn wir ein Asset mit einem Passwort sichern, das nur der vorgesehene Benutzer kennen sollte, Sicherheitsfragen hinzufügen, die nur er beantworten kann, seine Identität durch etwas bestätigen, das nur er besitzen kann – wie sein Smartphone – und sogar noch Sicherheitstoken oder Smartcards hinzufügen, sollten wir doch absolut sicher sein, oder? Falsch!

78 % der Unternehmen nutzen MFA, dennoch werden 28 % von Sicherheitslücken kompromittiert. MFA muss eine Komponente eines umfassenden Cybersicherheitskonzepts sein und darf keine eigenständige Verteidigungsstrategie darstellen.

Die Forscher benötigten beispielsweise nur eine Stunde, um die MFA-Systeme von Microsoft Azure zu umgehen. Okta, einer der größten Anbieter von Technologien zur Identitätsauthentifizierung, wurde erst kürzlich, im Jahr 2022, Opfer eines Angriffs auf sein MFA-System. 

Das Problem? Geringe Redundanz, fehlerhaftes Sicherheitsdesign und der irrige Glaube, dass MFA allein Sicherheit garantiert.

Es gibt keine Patentlösung in der Cybersicherheit. Kontinuierliche Compliance-Überwachung gewährleistet, dass MFA und andere Kontrollmechanismen korrekt konfiguriert und wirksam bleiben. Angesichts der zunehmenden Komplexität von Bedrohungen wie Social Engineering, Instant-Bombing, Alarmmüdigkeit, Phishing-as-a-Service und hochentwickelter AiTM-Technologie reicht MFA ohne solide Sicherheitsgrundlagen nicht mehr aus. 

Dieser Artikel untersucht prominente Fallstudien, in denen MFA-Schwachstellen ausgenutzt und umgangen wurden, und deckt wichtige Erkenntnisse auf, um die Sicherheitspraktiken zu stärken und sicherzustellen, dass MFA seinen Zweck erfüllt: Hacker von Ihren Systemen fernzuhalten.

Wie kann die Multi-Faktor-Authentifizierung umgangen werden?

Die häufigsten Vorgehensweisen von Bedrohungsakteuren bestehen darin, möglichst viele Konten in einem Unternehmen zu kompromittieren, der Entdeckung zu entgehen, zusätzliche Berechtigungen zu erlangen und den Angriff auszuweiten. 

Wenn Sie beispielsweise für einen bestimmten Dienst die Multi-Faktor-Authentifizierung (MFA) implementiert haben, dieser Dienst aber keine Begrenzung der Anmeldeversuche vorsieht, kann ein Angreifer, der bereit ist, alle eine Million Kombinationen des standardmäßigen sechsstelligen Authentifizierungscodes, Rainbow-Tabellen und geeignete Hardware auszuprobieren, Zugriff auf das Konto erlangen. 

Von dort aus kann der Angreifer mit anderen Geräten im Netzwerk interagieren, diese infizieren, Dateien durchsuchen und seine Berechtigungen ausweiten, was zu einem umfassenden Sicherheitsverstoß führen kann. 

Daher ist es unerlässlich, die Multi-Faktor-Authentifizierung (MFA) durch zusätzliche Maßnahmen wie begrenzte Anmeldeversuche, ein zuverlässiges Benachrichtigungssystem für Kontoinhaber im Falle eines Angriffs, zeitbasierte Zugriffsverweigerung und netzwerkinterne Schutzmechanismen zu ergänzen, die eine Rechteausweitung aus IoT-Netzwerken verhindern. Es ist daher unerlässlich, die MFA durch mehrschichtige Zugriffsverwaltungsmechanismen zu ergänzen, die begrenzte Anmeldeversuche, Benachrichtigungen für Kontoinhaber und zeitbasierte Zugriffsverweigerung umfassen. 

Beispiel: Ausnutzung der Microsoft 365 IoT-Konnektivität zur Umgehung der Multi-Faktor-Authentifizierung 

Das Authentifizierungssystem von Microsoft 365 ermöglicht es Benutzern, sich mithilfe eines Anmeldecodes an Geräten mit eingeschränkter Eingabemöglichkeit wie Smart-TVs, Druckern und anderen IoT-Geräten anzumelden. Um beispielsweise einen Smart-TV zu verbinden, wird ein Code angezeigt, den Sie im Office 365-Authentifizierungsfenster eingeben können, um das Gerät zu verbinden. 

Allerdings können Angreifer dasselbe nutzen, um die Multi-Faktor-Authentifizierung zu umgehen. 

Angriffspfad:

1. Bedrohungsakteure fordern Azure auf, ihre Geräte zu verbinden. 
2. Das Authentifizierungsframework fordert sie auf, einen bestimmten Code zu verifizieren.
3. Der Angreifer fügt diesen Code in eine E-Mail ein und sendet sie an ein Opfer.
4. Das Opfer prüft die E-Mail und gibt den Code im Office365-Authentifizierungsfenster ein. 
5. Sobald das Gerät des Angreifers authentifiziert ist, wird ein Zugriffstoken an das Gerät des Angreifers zurückgesendet. 
6. Der Angreifer erhält das Token und kann nun problemlos auf das Konto zugreifen oder es übernehmen. 
7. In diesem gesamten Szenario kommt die Multi-Faktor-Authentifizierung gar nicht erst zum Einsatz. Der Benutzer umgeht die Multi-Faktor-Authentifizierung erfolgreich. 

Wie kann die Multi-Faktor-Authentifizierung umgangen werden?

Menschliche Kontrolle bleibt ein entscheidender Faktor für die Sicherheit der Multi-Faktor-Authentifizierung (MFA). Angriffe, die menschliches Verhalten ausnutzen oder manipulieren, können die MFA-Abwehrmechanismen umgehen. Die Überwindung der MFA ist zwar eine Herausforderung, aber keineswegs unmöglich.

Bedrohungsakteure haben bekannte Taktiken wie Social Engineering adaptiert, um ausgefeiltere Techniken wie Adversary-in-the-Middle (AiTM)-Angriffe, SIM-Swapping und andere Methoden zu entwickeln, die auf das schwächste Glied der MFA abzielen – den Menschen.

Diese Angriffe unterscheiden sich hinsichtlich Komplexität, Erfolgsquote und Häufigkeit. Betrachtet man den linken Quadranten, wird deutlich, dass Social Engineering zwar für Angreifer am einfachsten durchzuführen ist, aber selten vorkommt. AiTM-Angriffe sind zwar die häufigste Methode, um die Multi-Faktor-Authentifizierung zu umgehen, jedoch komplexer als üblich usw. 

Lassen Sie uns die am häufigsten verwendeten Angriffsmethoden zur Umgehung der Multi-Faktor-Authentifizierung anhand von Fallstudien aus der Praxis untersuchen:

1) Ein staatlich geförderter Angriff nutzt die Schwachstelle der MFA-Geräte-Selbstregistrierung aus, um diese zu umgehen.

Im Jahr 2022 gaben CISA und FBI einen Angriff auf eine Nichtregierungsorganisation frei, bei dem die MFA-Selbstregistrierungsfunktion ausgenutzt wurde. 

Auch wenn es selten vorkommt, nutzen Angreifer häufig Schwachstellen bei der Selbstregistrierung für die Multi-Faktor-Authentifizierung (MFA) aus. Sie zielen typischerweise auf verwaiste Konten innerhalb einer Organisation oder auf Konten von neuen Mitarbeitern ab, die sich noch nicht für MFA registriert haben. Angreifer nutzen die anfängliche Einrichtungsphase aus und registrieren ihre Geräte, um trotz bestehender MFA-Protokolle unbefugten Zugriff auf diese ungeschützten Konten zu erlangen.

Der Angriff beginnt üblicherweise damit, dass sich Angreifer über Phishing, Brute-Force-Angriffe oder andere Methoden Zugangsdaten verschaffen. Sobald sie Zugriff haben, besteht ihr Ziel darin, ihr eigenes Gerät für die Zwei-Faktor-Authentifizierung (MFA) zu registrieren, um so im Netzwerk zu bleiben und weitere Schwachstellen auszunutzen, bis sie die vollständige Kontrolle darüber erlangt haben.  

Für diese NGO verlief der Angriffsweg der Bedrohungsakteure wie folgt:

1) Brute-Force-Angriff auf die Zugangsdaten eines verwaisten Kontos: 

Der Angreifer nutzte Brute-Force-Methoden, um ein schwaches Passwort zu erraten und schließlich zu kompromittieren, das mit dem Konto eines Benutzers verbunden war, der nicht mehr für das Unternehmen arbeitete. 

2) Schwache Anmeldezahlen für eine neue MFA-Zertifizierung:

Der Angreifer meldet sich mit dem kompromittierten Konto auf seinem Gerät für die Multi-Faktor-Authentifizierung (MFA) an. Für die Anmeldung war lediglich das ursprünglich gestohlene Passwort erforderlich; zusätzliche Verifizierungsschritte zur Authentifizierung der Benutzeridentität fehlten.

3) MFA wird verwendet, um sich beim VPN anzumelden und vollen Netzwerkzugriff zu erhalten:

Nachdem die Angreifer die Multi-Faktor-Authentifizierung eingerichtet hatten, griffen sie auf das VPN zu, um die auf Vertrauenszonen basierenden Sicherheitsmaßnahmen zu umgehen und erhielten uneingeschränkten Zugriff auf sensible Bereiche des Netzwerks.  

4) Ausnutzung der PrintNightmare-Schwachstelle zur Erlangung erhöhter Berechtigungen:

Mit erweiterten Zugriffsrechten nutzt der Angreifer die PrintNightmare-Schwachstelle, einen kritischen Fehler im Windows-Druckspooler, um seine Berechtigungen im Netzwerk zu erweitern. Dadurch kann er beliebigen Code auf dem Rechner des Opfers mit Systemrechten ausführen.

5) Umgehung der Multi-Faktor-Authentifizierung auf dem Domänencontroller durch Modifizierung der .hosts-Datei:

Um ihren Zugriff weiterhin aufrechtzuerhalten, umging der Angreifer die MFA auf dem Domänencontroller (DC), indem er die .hosts-Datei änderte, die Anfragen an den MFA-Server auf localhost (d. h. den vom Angreifer kontrollierten Rechner) umleitete, wodurch die MFA-Prüfungen effektiv neutralisiert wurden.  

Dies erreichen sie, indem sie die .hosts-Datei modifizieren, Anfragen an den MFA-Server auf den lokalen Host (d. h. den vom Angreifer kontrollierten Rechner) umleiten und so die MFA-Prüfungen effektiv neutralisieren.

6) Weitere Konten wurden kompromittiert, um eine laterale Bewegung zu ermöglichen:

Nachdem der Angreifer weitreichende Zugriffsrechte erlangt hat, kompromittiert er weitere Konten auf dem Domänencontroller. Dies ermöglicht ihm die seitliche Ausbreitung im Netzwerk und damit den Zugriff auf andere Systeme, um Daten nach Belieben zu exfiltrieren oder zu manipulieren.

2) Prompt Bombing, MFA-Müdigkeitsangriff, der Uber kompromittiert hat

Das sogenannte Prompt Bombing, auch MFA-Müdigkeit genannt, nutzt eine kritische Schwäche von MFA-Systemen aus – es basiert auf sozial erzeugten Szenarien, in denen Benutzer abgelenkt oder frustriert sind und eine MFA-Aufforderung übereilt bestätigen, nur um ihre täglichen Aufgaben wieder aufnehmen zu können. 

Beispiel gefällig? Sicherheitslücke bei Uber durch Lapsus$

Spät abends meldeten die Sicherheitssysteme von Uber ungewöhnliche Aktivitäten – eine Flut von MFA-Anfragen, die auf einen Mitarbeiter abzielten. Lapsus$, eine berüchtigte Gruppe, die in mehrere Ransomware-Angriffe verwickelt war, hatte sich die Zugangsdaten des Mitarbeiters beschafft, vermutlich durch eine Reihe von Phishing- und Social-Engineering-Angriffen. 

Anschließend überhäuften sie die Mitarbeiter mit MFA-Aufforderungen, in der Hoffnung, die menschliche Schwäche auszunutzen – den Wunsch nach Ruhe und dem Aufhören ständiger Benachrichtigungen. 

Um dies zu verdeutlichen, gab sich der Angreifer als Mitglied des IT-Teams von Uber aus und kontaktierte das Opfer direkt, um es davon zu überzeugen, MFA-Anfragen zu genehmigen.  

Dieser scheinbar verzweifelte Akt war ein kalkulierter Schritt, um sich unbefugten Zugang zu verschaffen. 

Nachdem die Angreifer in das System eingedrungen waren, navigierten sie durch das Uber-Netzwerk, bis sie auf ein Microsoft PowerShell-Skript mit Administratorrechten stießen. Diese Entdeckung ermöglichte ihnen weitreichenden Zugriff, einschließlich der Einsicht in den Quellcode und Details des Bug-Bounty-Programms von Uber, wodurch noch ungelöste Sicherheitslücken aufgedeckt wurden.

Hier ist der Angriffsweg, den sie befolgt haben:

Schritt 1: Angreifer erlangte Zugangsdaten

Der Hacker erlangte das Active Directory (AD)-Passwort des Mitarbeiters durch Phishing, Brute-Force-Angriffe oder die Ausnutzung anderer Sicherheitslücken.

Schritt 2: Einleitung der MFA-Ermüdung

Der Mitarbeiter wurde mit Benachrichtigungen zur Multi-Faktor-Authentifizierung (MFA) überflutet, was zu MFA-Müdigkeit oder einem regelrechten Ansturm an Anfragen führte. Dadurch entstand die Möglichkeit, dass der Mitarbeiter aus reiner Ruhe einen böswilligen Anmeldeversuch genehmigte.

Schritt 3: Soziale Manipulation

Um die Authentifizierung zu beschleunigen, gab sich der Angreifer als Uber IT-Support aus, kontaktierte den Mitarbeiter und überzeugte ihn, eine der MFA-Anfragen unter dem Vorwand der Behebung eines Sicherheitsproblems zu genehmigen.

Schritt 4: Netzwerkzugang und laterale Bewegungen

Nachdem die MFA genehmigt worden war, durchquerte der Hacker schnell das Netzwerk lateral und meldete sich beim VPN des Unternehmens an, wodurch er vollen Netzwerkzugriff erlangte, der möglicherweise auch den Zugriff auf sensible Bereiche umfasst, die den meisten Benutzern gesperrt sind.

Schritt 5: Rechteausweitung

In diesem Fall entdeckte und nutzte der Angreifer ein Microsoft PowerShell-Skript im Netzwerk, das Administratoranmeldeinformationen für Privileged Access Management (PAM) enthielt, und erweiterte so seinen Zugriff auf administrative Ebenen.

3) AiTM-Angriffe 

Um die Multi-Faktor-Authentifizierung (MFA) zu umgehen, wird ein Adversary-in-the-Middle-Angriff (AiTM) durchgeführt. Dabei positioniert sich ein Angreifer als passive, aber beobachtende Schicht im Netzwerk zwischen dem Opfer und dem angegriffenen Dienst. Diese Konfiguration ermöglicht es dem Angreifer, die Kommunikation abzufangen, weiterzuleiten und zu manipulieren, einschließlich sensibler Informationen wie Anmeldeinformationen und Sitzungstoken.

Angriffspfad für einen AiTM-Angriff zur Umgehung der Multi-Faktor-Authentifizierung:

1) Phishing

Ein Opfer erhält einen schädlichen Link per E-Mail oder SMS von einem anderen vertrauenswürdigen Dienst, den es täglich nutzt.

2) Sammeln von Anmeldeinformationen

Das Opfer wird auf die Anmeldeseite eines seriösen Dienstes, beispielsweise von Microsoft, weitergeleitet, wobei der Vorgang über das Netzwerk des Angreifers läuft. Sobald das Opfer seine Zugangsdaten eingibt, hat der Angreifer Zugriff darauf, da diese über seine Infrastruktur an ihn zurückgesendet werden. 

3) Weiterleitung von Anmeldeinformationen

Die erbeuteten Zugangsdaten stehen in Verbindung mit dem Angreifer und tragen zur Eskalation des Angriffs bei. 

4) Abfangende MFA

Wenn die Zielseite eine Multi-Faktor-Authentifizierung (MFA) erfordert, wird die Authentifizierungsanfrage an das Opfer weitergeleitet. Das Opfer gibt den MFA-Code ein, den der Angreifer abfängt und an die Zielseite weiterleitet. Der Angreifer erfasst außerdem den Session-Cookie, sodass sich das Opfer bei Bedarf anmelden kann. 

5) Unbefugter Zugriff mit Session-Cookies

Sobald der Angreifer Zugriff auf Session-Cookies erlangt hat, kann er den gestohlenen Session-Cookie verwenden, um auf das Konto des Opfers auf der Zielseite zuzugreifen, ohne dass Benutzername und Passwort benötigt werden, und umgeht so den Anmeldevorgang vollständig. 

Wie Sie Ihre MFA stärken können

Das Problem mit der Multi-Faktor-Authentifizierung (MFA) besteht darin, dass Angreifer einen Weg gefunden haben, Umstände zu schaffen, um MFA-Schlüssel auf die gleiche Weise abzufangen, wie sie früher Passwörter abgefangen haben. 

Zu allem Übel bleibt der Mensch das schwächste Glied in der Kette, und die häufigsten MFA-Angriffe, wie zum Beispiel MFA-Müdigkeitsangriffe, hängen stark vom menschlichen Urteilsvermögen ab. 

Es gibt jedoch einige Maßnahmen, die die Multi-Faktor-Authentifizierung (MFA) stärken können. Aus diesen Fällen haben wir gelernt und die folgenden Best Practices zusammengestellt, um sicherzustellen, dass die MFA nicht umgangen wird und Angreifer sie selbst im Erfolgsfall nicht effektiv ausnutzen können. 

Das Problem mit der Multi-Faktor-Authentifizierung (MFA) besteht darin, dass Angreifer einen Weg gefunden haben, Umstände zu schaffen, um MFA-Schlüssel auf die gleiche Weise abzufangen, wie sie früher Passwörter abgefangen haben. 

Zu allem Übel bleibt der Mensch das schwächste Glied in der Kette, und die häufigsten MFA-Angriffe, wie zum Beispiel MFA-Müdigkeitsangriffe, hängen stark vom menschlichen Urteilsvermögen ab. 

Es gibt jedoch einige Maßnahmen, die die Multi-Faktor-Authentifizierung (MFA) stärken können. Aus diesen Fällen haben wir gelernt und die folgenden Best Practices zusammengestellt, um sicherzustellen, dass die MFA nicht umgangen wird und Angreifer sie selbst im Erfolgsfall nicht effektiv ausnutzen können. 

Zero-Trust-Prinzipien

Üblicherweise wägen Organisationen Komfort und Sicherheit gegeneinander ab und richten daher Vertrauenszonen innerhalb eines VPNs ein. Die Geräte in diesem Netzwerk erhalten erweiterte Zugriffsrechte, um Geschäftsprozesse und die Zusammenarbeit zu erleichtern. Dieses Prinzip der Einrichtung einer Vertrauenszone wird jedoch auch am häufigsten missbraucht. 

Zero-Trust-Prinzipien basieren auf einer einfachen Regel: Vertrauen ist Macht. Dadurch wird verhindert, dass kompromittierte Konten weitere Berechtigungen im System erlangen. Zur Implementierung von Zero Trust können Sie wie folgt vorgehen: 

• Kontextbezogene Zugriffskontrollrichtlinien: Entwickeln und setzen Sie dynamische Zugriffsrichtlinien durch, die den Kontext von Zugriffsanfragen berücksichtigen, wie z. B. Standort, Sicherheitsstatus des Geräts und Zugriffszeitpunkt.
• Mikrosegmentierung: Nutzen Sie die Mikrosegmentierung, um die laterale Bewegung innerhalb des Netzwerks einzuschränken, selbst wenn ein Angreifer die MFA umgeht.
• Verhaltensanalyse: Nutzen Sie Verhaltensanalysen, um Anomalien im Nutzerverhalten zu erkennen, die auf ein kompromittiertes Konto hindeuten könnten, selbst nach der MFA-Verifizierung.

Push-to-Approve aktivieren

Wie der Angriff auf NGOs gezeigt hat, sind codebasierte MFA-Verfahren anfällig. Push-basierte MFA-Verfahren mit biometrischer oder geofencing Verifizierung können eine zusätzliche Sicherheitsebene schaffen und so die korrekte Funktion der MFA gewährleisten. 

Stellen Sie sicher, dass die Multi-Faktor-Authentifizierung (MFA) auf allen Zugriffspunkten aktiviert ist.

Die Forderung nach Multi-Faktor-Authentifizierung (MFA) nicht nur für die erstmalige Anmeldung, sondern auch für sensible Aktionen innerhalb eines Systems erhöht die Sicherheit erheblich, indem eine zusätzliche Verifizierungsebene hinzugefügt wird. 

Schließlich ist es entscheidend, die Standardkonfigurationen anzupassen, um die Sicherheit zu erhöhen. Dazu gehören beispielsweise die Implementierung strenger Kontosperrungsrichtlinien und die Forderung nach robusteren Verifizierungsprozessen bei der MFA-Registrierung. Darüber hinaus konzentriert sich das Identity Governance auf die regelmäßige Überprüfung und Löschung verwaister Konten, um unnötige Zugriffsrisiken zu minimieren. 

Resiliente MFA-Praktiken

Bei der Überprüfung der Rolle und Robustheit der Multi-Faktor-Authentifizierung (MFA) in unseren Sicherheitsvorkehrungen wird deutlich, dass MFA kein Allheilmittel, sondern ein grundlegender Bestandteil einer mehrdimensionalen Verteidigungsstrategie ist. Durch die Einhaltung disziplinierter Sicherheitspraktiken und die Anwendung einfacher, benutzerfreundlicher Methoden können Unternehmen ihre Widerstandsfähigkeit gegenüber immer komplexeren Cyberbedrohungen stärken. Letztendlich liegt der Schlüssel zu dauerhafter Sicherheit in der kontinuierlichen Überprüfung und Anpassung unserer Schutzmaßnahmen, um sicherzustellen, dass sie den aktuellen Herausforderungen gerecht werden und zukünftigen Schwachstellen entgegenwirken.

Häufig gestellte Fragen