Thought Leadership
Die Gruppe ExfilSquad behauptet, über offene Microsoft-Power-Pages-Portale 27 Millionen Datensätze von 13 Organisationen erbeutet zu haben.
ExfilSquad trat erstmals am 26. Juli mit einer eigenen Leak-Website im Darknet in Erscheinung und behauptete zunächst, 15 Organisationen kompromittiert zu haben, zunächst ohne belastbare Nachweise. Zwei Tage später veröffentlichte die Gruppe erste Datenproben, die Fortra Intelligence and Research Experts anschließend analysierte. Die Forscher kamen zu dem Schluss, dass es sich zwar um einen echten Datenabfluss handeln dürfte, jedoch vermutlich nicht um eine vollständige Kompromittierung der jeweiligen Unternehmensnetzwerke, wie sie bei klassischen Ransomware-Angriffen üblich ist, da sich die betroffenen Daten offenbar auf einzelne SaaS-Anwendungen beschränkten.
Die gestohlenen Informationen stammen dabei überwiegend aus Microsoft-Dynamics-365-CRM- und ERP-Umgebungen, in einem Dateiformat, das dem typischen Export aus der Dataverse-Plattform von Microsoft entspricht. Hinweise auf eine Verschlüsselung von Systemen, eine seitliche Ausbreitung im Unternehmensnetzwerk oder eine tatsächliche Softwareschwachstelle in Dynamics 365 selbst fanden die Forscher nicht.
Als wahrscheinlichste Erklärung nennt Fortra öffentlich erreichbare Power-Pages-Portale, über die sich Organisationen mit Kunden, Beschäftigten, Partnern oder der Öffentlichkeit austauschen können. Da manche Daten dabei bewusst auch für nicht angemeldete Besucher zugänglich gemacht werden, andere jedoch ausdrücklich nicht, kann eine fehlerhafte Berechtigungskonfiguration dazu führen, dass deutlich mehr interne Daten öffentlich einsehbar sind als eigentlich vorgesehen. Fortra identifizierte im Rahmen der eigenen Untersuchung mehr als 10.000 öffentlich erreichbare Power-Pages-Instanzen.
Microsoft: Betroffen sind Behörden, Schulen und bekannte Unternehmen
Bis zum 7. August veröffentlichte ExfilSquad Torrent-Dateien mit angeblichen Daten von 13 Organisationen aus einem ungewöhnlich breiten Branchenspektrum, darunter Behörden, Bildungseinrichtungen, Finanzdienstleister, die Luftfahrtbranche sowie Strafverfolgungsbehörden. Zu den von der Gruppe genannten Betroffenen zählen unter anderem der Versicherer Allstate, die Stadt Atlanta, die öffentlichen Schulen des District of Columbia, das britische Bildungsministerium, Frontier Airlines, die Stadt Houston, die Universität Newcastle sowie eine britische Datenbank der Polizei.
Zwei zunächst genannte Organisationen wurden später wieder von der Liste entfernt, aus welchem Grund, ist unklar. Laut eigener Beschreibung der Gruppe umfasst allein der angebliche Datensatz zur Stadt Houston rund 6 Millionen, jener zu Atlanta rund 3 Millionen Datensätze. Zu den betroffenen Datenkategorien zählen demnach unter anderem Namen, Adressen, Kontaktdaten, Kundenservice-Vorgänge, Beschäftigten- und Bewerberdaten sowie Schülerdaten.
Empfohlene Sofortmaßnahmen
Organisationen, die Power Pages einsetzen, sollten zunächst prüfen, ob ihre Portale anonymen Nutzern Zugriff auf Dataverse-Daten gewähren, unter anderem mit dem eigens dafür verfügbaren Prüfmodul Power Pwn. Wird eine solche Offenlegung festgestellt, gilt es, den anonymen Zugriff auf Geschäftsdaten umgehend zu deaktivieren sowie Protokolle und Portaleinstellungen zu sichern.
Betroffene Organisationen sollten anschließend ermitteln, welche Portale und Datensätze konkret offengelegt wurden, gegebenenfalls betroffene Zugangsdaten und API-Schlüssel austauschen, sämtliche Power-Pages-Portale samt zuständiger Verantwortlicher und verbundener Dataverse-Umgebung dokumentieren sowie konsequent auf einen Zero-Trust-Ansatz mit verpflichtender Authentifizierung vor jedem Zugriff auf Geschäftsdaten umstellen. Zusätzlich empfiehlt sich eine Überprüfung angebundener Dienste wie Power Automate, SharePoint, Power BI, Zahlungssysteme sowie eigens entwickelte Konnektoren und Dienstkonten.
(red)
