{"id":294667,"date":"2024-04-23T08:37:57","date_gmt":"2024-04-23T06:37:57","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=294667"},"modified":"2024-04-23T14:45:59","modified_gmt":"2024-04-23T12:45:59","slug":"windows-print-spooler-schwachstelle-cve-2022-38028-bevorzugtes-einfallstor-russischer-angreifer","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2024\/04\/23\/windows-print-spooler-schwachstelle-cve-2022-38028-bevorzugtes-einfallstor-russischer-angreifer\/","title":{"rendered":"Windows Print-Spooler-Schwachstelle CVE-2022-38028 bevorzugtes Einfallstor russischer Angreifer"},"content":{"rendered":"<p><img decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" title=\"Windows\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Windows-klein.jpg\" alt=\"Windows\" width=\"200\" align=\"left\" \/>[<a href=\"https:\/\/borncity.com\/win\/2024\/04\/23\/windows-print-spooler-vulnerability-cve-2022-38028-preferred-attack-vector-for-russian-attackers\/\" target=\"_blank\" rel=\"noopener\">English<\/a>]Die alte Print-Spooler-Schwachstelle CVE-2022-38028 in Windows ist wohl das bevorzugte Angriffsziel der russischen Hackergruppe Fancy Bear. Das hat die Analyse eines Angriffstools ('GooseEgg' Malware) durch Microsoft ergeben. Auf aktuell gepatchten Windows-Betriebssystemen ist dieser Angriffsvektor aber nicht mehr ausnutzbar, wie Microsoft in einem Blog-Beitrag offen gelegt hat.<\/p>\n<p><!--more--><\/p>\n<h2>Analyse der GooseEgg-Malware<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg07.met.vgwort.de\/na\/bf4e79e0c7e046fbade0f3806f202a52\" alt=\"\" width=\"1\" height=\"1\" \/>Das Sicherheitsteam von Microsoft Threat Intelligence hat sich \u00fcber Jahre mit den Aktivit\u00e4ten des in Russland ans\u00e4ssigen Bedrohungsakteurs Forest Blizzard (STRONTIUM) besch\u00e4ftigt. Diese Hackergruppe, die im Umfeld des Nachrichtendiensts (GRU) angesiedelt sein muss, hat ein eigenes Tool mit dem Namen 'GooseEgg' entwickelt, um Windows-Systeme anzugreifen und dann in Netzwerken die Berechtigungen zu erh\u00f6hen, Anmeldeinformationen abzugreifen und weiter in die IT-Infrastruktur einzudringen.<\/p>\n<p>Laut dem Microsoft Blog-Beitrag <a href=\"https:\/\/www.microsoft.com\/en-us\/security\/blog\/2024\/04\/22\/analyzing-forest-blizzards-custom-post-compromise-tool-for-exploiting-cve-2022-38028-to-obtain-credentials\/\">Analyzing Forest Blizzard's custom post-compromise tool for exploiting CVE-2022-38028 to obtain credentials<\/a> vom 22. April 2024 verwendet die Gruppe Forest Blizzard seit mindestens Juni 2020 (m\u00f6glicherweise bereits seit April 2019) das Tool GooseEgg f\u00fcr seine Angriffe. Das Tool greift \u00fcber eine <a href=\"https:\/\/learn.microsoft.com\/windows-hardware\/drivers\/print\/javascript-constraints\" target=\"_blank\" rel=\"noopener\">JavaScript-Einschr\u00e4nkungsdatei<\/a><u><\/u> die Sicherheitsl\u00fccke <a href=\"https:\/\/cve.mitre.org\/cgi-bin\/cvename.cgi?name=CVE-2022-38028\" target=\"_blank\" rel=\"noopener\">CVE-2022-38028<\/a><u><\/u> im Windows Print Spooler-Dienst an, indem es diese JavaScript-Einschr\u00e4nkungsdatei \u00e4ndert und dann mit Berechtigungen auf SYSTEM-Ebene ausf\u00fchrt.<\/p>\n<p>Microsoft Aktivit\u00e4ten von Forest Blizzard beobachten, bei denen GooseEgg im Rahmen von Aktivit\u00e4ten nach der Kompromittierung gegen Ziele wie ukrainische, westeurop\u00e4ische und nordamerikanische Regierungs-, Nichtregierungs-, Bildungs- und Transportorganisationen verwendet wurde. Obwohl es sich bei GooseEgg um einen einfachen Launcher handelt, kann dieser andere Anwendungen starten, die in der Befehlszeile mit erh\u00f6hten Berechtigungen angegeben werden. Dies erm\u00f6glicht den Angreifern weitere Ziele, wie z. B. die Ausf\u00fchrung von Remote-Code, die Installation einer Hintert\u00fcr und die seitliche Bewegung durch kompromittierte Netzwerke, anzugehen.<\/p>\n<p>GooseEgg wird in der Regel per Batch-Skript (<em>execute.bat <\/em>oder <em>doit.bat<\/em>) bereitgestellt. Dieses Batch-Skript schreibt die Datei <em>servtask.bat,<\/em> die Befehle zum Speichern\/Komprimieren von Registrierungs-Hives enth\u00e4lt und ruft dann die ausf\u00fchrbare Datei <em>GooseEgg <\/em>auf, um sich permanent als geplante Aufgabe <em>servtask.bat<\/em> einzurichten.<\/p>\n<p>Die GooseEgg-Bin\u00e4rdatei &#8211; die unter anderem die Dateinamen <em>justice.exe<\/em> und <em>DefragmentSrv.exe <\/em>enth\u00e4lt <em>&#8211; f\u00fchrt <\/em>einen von vier Befehlen, die jeweils unterschiedliche Ausf\u00fchrungspfade haben, aus. Microsoft beschreibt die betreffenden Befehle und vermutet, dass dadurch die Aktivit\u00e4t der Malware verschleiert werden soll. Anschlie\u00dfend wird ein Unterverzeichnis aus einer Liste unverf\u00e4nglicher Namen (Microsoft, ESET etc.) angelegt, in das dann die folgenden Bin\u00e4rdaten aus dem Printer Driver Store kopiert werden.<\/p>\n<ul>\n<li><em>C:\\Windows\\System32\\DriverStore\\FileRepository\\pnms003.inf_*<\/em><\/li>\n<li><em>C:\\Windows\\System32\\DriverStore\\FileRepository\\pnms009.inf_*<\/em><\/li>\n<\/ul>\n<p>Als N\u00e4chstes werden Registrierungsschl\u00fcssel erstellt, die effektiv einen benutzerdefinierten Protokoll-Handler erzeugen und eine neue <a href=\"https:\/\/learn.microsoft.com\/windows\/win32\/com\/clsid-key-hklm\"><u>CLSID<\/u><\/a> registrieren, die als COM-Server f\u00fcr dieses \"b\u00f6sartige\" Protokoll dient. Der Exploit ersetzt die symbolische Verkn\u00fcpfung des Laufwerks C: im Objektmanager und verweist auf das neu erstellte Verzeichnis. Wenn der PrintSpooler versucht,<\/p>\n<pre>C:\\Windows\\System32\\DriverStore\\FileRepository\\pnms009.inf_amd64_a7412a554c9bc1fd\\MPDW-Constraints.js<\/pre>\n<p>zu laden, wird er stattdessen auf das vom Akteur kontrollierte Verzeichnis umgeleitet, das die kopierten Treiberpakete enth\u00e4lt. \u00dcber weitere Schritte, die von Microsoft beschrieben werden, versuchen die Angreifer erh\u00f6hte Systemberechtigungen zu erlangen, um sich im System auszubreiten.<\/p>\n<h2>Schutz vor CVE-2022-38028<\/h2>\n<p>Microsoft hat am <a href=\"https:\/\/msrc.microsoft.com\/update-guide\/vulnerability\/CVE-2022-38028\" target=\"_blank\" rel=\"noopener\">11. Oktober 2022<\/a><u><\/u> ein Sicherheitsupdate f\u00fcr die von GooseEgg ausgenutzte Print Spooler-Schwachstelle und am <a href=\"https:\/\/msrc.microsoft.com\/update-guide\/vulnerability\/CVE-2021-1675\" target=\"_blank\" rel=\"noopener\">8. Juni 2021<\/a><u><\/u> und <a href=\"https:\/\/msrc.microsoft.com\/update-guide\/vulnerability\/CVE-2021-34527\" target=\"_blank\" rel=\"noopener\">1. Juli 2021<\/a> Updates f\u00fcr die PrintNightmare-Schwachstellen ver\u00f6ffentlicht. Wer die Patches installiert hat, ist nicht mehr angreifbar &#8211; fehlen die Patches, sollten die Administratoren diese schnellstm\u00f6glich nachholen.<\/p>\n<p>Da der Print Spooler-Dienst f\u00fcr den Betrieb von Dom\u00e4nencontrollern nicht erforderlich ist, empfiehlt Microsoft au\u00dferdem, den Dienst auf Dom\u00e4nencontrollern zu deaktivieren. Andernfalls k\u00f6nnen Benutzer verf\u00fcgbare Windows-Sicherheitsupdates f\u00fcr Druckspooler-Schwachstellen auf Windows-Dom\u00e4nencontrollern vor den Mitgliedsservern und Workstations installieren. Um Dom\u00e4nencontroller zu identifizieren, auf denen der Druckspooler-Dienst aktiviert ist, verf\u00fcgt Microsoft Defender for Identity \u00fcber eine <a href=\"https:\/\/learn.microsoft.com\/defender-for-identity\/security-assessment-print-spooler\" target=\"_blank\" rel=\"noopener\">integrierte Sicherheitsbewertung<\/a><u><\/u>, die die Verf\u00fcgbarkeit von Druckspooler-Diensten auf Dom\u00e4nencontrollern verfolgt. Weitere Details sind dem verlinkten Microsoft-Beitrag zu entnehmen.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Die alte Print-Spooler-Schwachstelle CVE-2022-38028 in Windows ist wohl das bevorzugte Angriffsziel der russischen Hackergruppe Fancy Bear. Das hat die Analyse eines Angriffstools ('GooseEgg' Malware) durch Microsoft ergeben. Auf aktuell gepatchten Windows-Betriebssystemen ist dieser Angriffsvektor aber nicht mehr ausnutzbar, wie Microsoft &hellip; <a href=\"https:\/\/borncity.com\/blog\/2024\/04\/23\/windows-print-spooler-schwachstelle-cve-2022-38028-bevorzugtes-einfallstor-russischer-angreifer\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,301],"tags":[4328,3288],"class_list":["post-294667","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-windows","tag-sicherheit","tag-windows-en"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/294667","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=294667"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/294667\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=294667"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=294667"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=294667"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}