{"id":227410,"date":"2020-01-24T16:03:36","date_gmt":"2020-01-24T15:03:36","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=227410"},"modified":"2020-01-27T23:45:35","modified_gmt":"2020-01-27T22:45:35","slug":"cyberangriffe-das-shitrix-desaster-citrix-netscaler-bug","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/01\/24\/cyberangriffe-das-shitrix-desaster-citrix-netscaler-bug\/","title":{"rendered":"Cyberangriffe: Gedia &amp; Potsdam Opfer des Shitrix-Desasters (Citrix Netscaler-Bug)?"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\" align=\"left\" \/>[<a href=\"https:\/\/borncity.com\/win\/2020\/01\/24\/ransomware-are-potsdam-and-gedia-are-shitrix-victims\/\" target=\"_blank\" rel=\"noopener noreferrer\">English<\/a>]Gut, die 'smoking Gun' fehlt mir noch. Aber es kristallisiert sich heraus, dass die Cyberangriffe auf Gedia &amp; Potsdam, die ich in den letzten Stunden hier im Blog berichtet habe, \u00fcber die Shitrix-Schwachstelle im Citrix ADC (Netscaler) m\u00f6glich waren. <strong>Erg\u00e4nzung:<\/strong> Weitere Kommunen wie die Stadt Brandenburg sind auch betroffen.<\/p>\n<p><!--more--><\/p>\n<h2>Was ist die Shitrix-Schwachstelle?<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg05.met.vgwort.de\/na\/2aeaadcec9da49a58a4c858c04295fd0\" alt=\"\" width=\"1\" height=\"1\" \/>Im Citrix ADC (Application Delivery Controller, fr\u00fcher Netscaler) wurde am 17. Dezember 2019 die Schwachstelle CVE-2019-19781 bekannt, f\u00fcr die es keinen Patch gab. Ich hatte zeitnah am 24. Dezember im Beitrag <a href=\"https:\/\/borncity.com\/blog\/2019\/12\/24\/schwachstelle-in-citrix-produkten-gefhrdet-firmen-netzwerke\/\">Schwachstelle in Citrix Produkten gef\u00e4hrdet Firmen-Netzwerke<\/a> dar\u00fcber berichtet. Von Citrix wurde ein Workaround ver\u00f6ffentlicht, mit dem Administratoren ihre Citrix-Appliances gegen die Ausnutzung der Schwachstelle abdichten mussten.<\/p>\n<h3>Weihnachten haben Admins Urlaub<\/h3>\n<p>Da das alles kurz vor Weihnachten passierte, haben viele Administratoren das wohl nicht mehr mitbekommen. Hier im Blog hatte ich das in einem Sicherheits-Sammelbeitrag <a href=\"https:\/\/borncity.com\/blog\/2020\/01\/03\/sicherheitsinformationen-3-1-2020\/\">Sicherheitsinformationen (3.1.2020)<\/a> direkt zum Start des neuen Jahres nochmals hochgeholt.<\/p>\n<h3>Keine Reaktion allerorten<\/h3>\n<p>Als in der 2. Januar-Woche des Jahres 2020 Proof of Concept (PoC) Exploits vorlagen, um die Schwachstelle auszunutzen \u2013 und Honeypots bereits angegriffen wurden \u2013 war es f\u00fcr einige Leute bereits zu sp\u00e4t. Ich hatte zwar erneut vor der Schwachstelle gewarnt (siehe <a href=\"https:\/\/borncity.com\/blog\/2020\/01\/13\/exploit-fr-citrix-adc-netscaler-schwachstelle-cve-2019-19781\/\">Exploit f\u00fcr Citrix ADC\/Netscaler-Schwachstelle CVE-2019-19781<\/a>). Aber mir war bei heise ein Kommentar unter die Augen gekommen, wo jemand schrieb, dass bereits bei 7 Kunden in die Netscaler eingebrochen wurde. Trotzdem wurden allein in Deutschland \u00fcber 2.000 Netscaler weiterhin angreifbar per Internet betrieben.<\/p>\n<blockquote class=\"twitter-tweet\">\n<p dir=\"ltr\" lang=\"en\">Over 25,000 Citrix (NetScaler) endpoints vulnerable to CVE-2019-19781 (via <a href=\"https:\/\/twitter.com\/bad_packets?ref_src=twsrc%5Etfw\">@bad_packets<\/a>)<a href=\"https:\/\/t.co\/Q8BfxZZLHo\">https:\/\/t.co\/Q8BfxZZLHo<\/a> <a href=\"https:\/\/t.co\/BJA7mEtVYM\">pic.twitter.com\/BJA7mEtVYM<\/a><\/p>\n<p>\u2014 Catalin Cimpanu (@campuscodi) <a href=\"https:\/\/twitter.com\/campuscodi\/status\/1216299336415485952?ref_src=twsrc%5Etfw\">January 12, 2020<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Seit einigen Tagen liegen Firmware-Updates vor \u2013 ich habe hier im Blog ja zeitnah jeweils berichtet (siehe Artikel am Beitragsende). Den Abrufzahlen der Beitr\u00e4ge zu urteilen, interessiert das kaum jemanden (sind ja weniger als 2.500 Endpunkte in Deutschland), oder die Admins unter den Lesern waren informiert und hatten das im Griff. Mein letzter Beitrag <a href=\"https:\/\/borncity.com\/blog\/2020\/01\/24\/citrix-schwachstelle-neue-updates-und-scanner-fr-tests\/\">Citrix Schwachstelle: Neue Updates und Scanner f\u00fcr Tests<\/a> befasst sich auch mit einem Scanner, der kompromittierte Citrix ADC-Appliances aufsp\u00fcren kann.<\/p>\n<h2>Und es hat Bum gemacht in Potsdam und in Attendorn<\/h2>\n<p>Wenn meine Informationen nicht ganz falsch sind, deutet jetzt vieles darauf hin, dass es die Stadtverwaltung von Potsdam \u00fcber die Shitrix-Schwachstelle erwischt hat. Es gab von der Stadt Potsdam die Formulierung, das 'offenbar eine Schwachstelle im System eines externen Anbieters ausgenutzt wurde'. Mir liegt die Information vor, dass Potsdam auf einer Liste der \u00fcber den Citrix Netscaler angreifbaren Hosts vertreten war. Ein Sicherheits-Journalist beschreibt es so: <em>Potsdam hatte mehrere Wochen nachdem die L\u00fccke bekannt war noch verwundbare Systeme am Netz. <\/em>Ich habe die Informationen im Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2020\/01\/24\/potsdam-offline-ungereimtheiten-erzwingen-server-shutdown\/\">Potsdam offline\u2013Ungereimtheiten erzwingen Server-Shutdown<\/a> nachgetragen.<\/p>\n<p>Und auch der vor wenigen Stunden berichtete <a href=\"https:\/\/borncity.com\/blog\/2020\/01\/23\/ransomware-befall-beim-automobilzulieferer-gedia\/\">Ransomware-Befall beim Automobilzulieferer Gedia<\/a> ist wahrscheinlich \u00fcber die Citrix-Schwachstelle erfolgt. Mir ist diesbez\u00fcglich eine Aussage eines Sicherheitsforschers unter die Augen gekommen, der sic die Dokumente angesehen hat, die von der Sodinokibi-Gruppe ver\u00f6ffentlicht worden. Der Angriff erfolgte ja von dieser Gruppe \u00fcber die Sodinokibi-Ransomware und die Hinterm\u00e4nner drohen, die erbeuteten 50 GByte an Gedia-Daten zu ver\u00f6ffentlichen, weil Gedia nicht zahlt. Der Sicherheitsforscher schreibt:<\/p>\n<blockquote><p>I examined the files #REvil posted from http:\/\/Gedia.com after they refused to pay the #ransomware.<\/p>\n<p>the interesting thing I discovered is that they obviously hacked Gedia via the #Citrix exploit<\/p>\n<p>my bet is that all recent targets were accessed via this exploit.<\/p><\/blockquote>\n<p>Ich habe den Original-Tweet im Beitrag <a href=\"https:\/\/borncity.com\/blog\/2020\/01\/23\/ransomware-befall-beim-automobilzulieferer-gedia\/\">Ransomware-Befall beim Automobilzulieferer Gedia<\/a> integriert. Dort ist ein Bild zu sehen, welches Konfigurationsdaten f\u00fcr diverse virtuelle Maschinen (VMs) bei gedia.com zeigt. Neben einem Windows Server 2003 Standard sind dort Windows 7-Clients, Windows 8- und Windows 10-Rechner sowie Oracle Solaris-Systeme mit dem Citrix Netscaler aufgef\u00fchrt. Das ist zwar kein 'rauchender Colt', denn die Citrix ADC-Appliances k\u00f6nnten ja \u00fcber den Citrix-Workaround gegen die Shitrix-Schwachstelle geh\u00e4rtet worden sein.<\/p>\n<p>Aber die Kombination 'possible Shitrix-Systeme' in Kombination 'zoink, Du wurdest gehackt' l\u00e4sst schon bestimmte Schl\u00fcsse zu. Und ich f\u00fcrchte, wird sehen hier nicht das Ende der Fahnenstange. Im Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2020\/01\/17\/achtung-weiterer-nachbesserungsbedarf-bei-citrix-netscaler\/\">Achtung: Weiterer Nachbesserungsbedarf bei Citrix-Netscaler<\/a> hatte ich ja berichtet, dass FireEye einen Angriff bemerkt hat, der angreifbare Citrix-Appliances von Infektionen bereinigt und gegen Angriffe geh\u00e4rtet hat. Gleichzeitig hinterlie\u00df dieser Hacker eine Backdoor, \u00fcber die er jederzeit Zugriff auf die Firmennetzwerke hat. W\u00e4re sch\u00f6n, wenn ich am Ende des Tages 'die Fl\u00f6he husten geh\u00f6rt h\u00e4tte'.<\/p>\n<p><strong>Erg\u00e4nzung:<\/strong> Auch die Stadt Brandenburg ist von der Citrix-Schwachstelle, die nicht gestopft wurde, betroffen (siehe\u00a0<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/24\/cyber-angriffe-stadt-brandenburg-und-gemeinde-stahnsdorf-offline\/\" rel=\"bookmark\">Cyber-Angriffe: Stadt Brandenburg und Gemeinde Stahnsdorf offline<\/a>). Und noch ein Nachtrag: Hanno B\u00f6ck hat bereits am 14. Januar 2020 <a href=\"https:\/\/www.golem.de\/news\/shitrix-das-citrix-desaster-2001-146047.html\" target=\"_blank\" rel=\"noopener noreferrer\">in diesem Golem-Beitrag<\/a> in Sachen Citrix aufgezeigt, wie schlecht es in deutschen Beh\u00f6rden um die IT-Sicherheit bestellt ist.<\/p>\n<p><strong>\u00c4hnliche Artikel:<\/strong><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/12\/24\/schwachstelle-in-citrix-produkten-gefhrdet-firmen-netzwerke\/\">Schwachstelle in Citrix Produkten gef\u00e4hrdet Firmen-Netzwerke<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/03\/sicherheitsinformationen-3-1-2020\/\">Sicherheitsinformationen (3.1.2020)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/13\/exploit-fr-citrix-adc-netscaler-schwachstelle-cve-2019-19781\/\">Exploit f\u00fcr Citrix ADC\/Netscaler-Schwachstelle CVE-2019-19781<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/17\/achtung-weiterer-nachbesserungsbedarf-bei-citrix-netscaler\/\">Achtung: Weiterer Nachbesserungsbedarf bei Citrix-Netscaler<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/20\/patches-fr-citrix-adc-netscaler-11-1-12-0-verfgbar-19-1-2020\/\">Patches f\u00fcr Citrix ADC\/Netscaler 11.1\/12.0 verf\u00fcgbar (19.1.2020)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/24\/citrix-schwachstelle-neue-updates-und-scanner-fr-tests\/\">Citrix Schwachstelle: Neue Updates und Scanner f\u00fcr Tests<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/23\/ransomware-befall-beim-automobilzulieferer-gedia\/\">Ransomware-Befall beim Automobilzulieferer Gedia<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/24\/potsdam-offline-ungereimtheiten-erzwingen-server-shutdown\/\">Potsdam offline\u2013Ungereimtheiten erzwingen Server-Shutdown<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Gut, die 'smoking Gun' fehlt mir noch. Aber es kristallisiert sich heraus, dass die Cyberangriffe auf Gedia &amp; Potsdam, die ich in den letzten Stunden hier im Blog berichtet habe, \u00fcber die Shitrix-Schwachstelle im Citrix ADC (Netscaler) m\u00f6glich waren. Erg\u00e4nzung: &hellip; <a href=\"https:\/\/borncity.com\/blog\/2020\/01\/24\/cyberangriffe-das-shitrix-desaster-citrix-netscaler-bug\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[7843,7572,4328],"class_list":["post-227410","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-citrix","tag-cyberangriff","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/227410","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=227410"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/227410\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=227410"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=227410"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=227410"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}