Microsoft warnt eindrücklich davor, wie Domänencontroller (früher → DCs, PDCs usw) zur Verbreitung von Ransomware genutzt werden können!!
Microsoft warnt vor der Bedrohung durch Angriffe auf Domänencontroller und vor der kritischen Rolle, die Kompromittierungen dieser Systeme bei Netzwerkangriffen spielen können.
Der Redmonder Software- und Dienstleistungsriese warnte Administratoren, dass Bedrohungsakteure gezielt auf Domain-Controller-Server abzielen können, um sich eine privilegierte Position in Netzwerken zu verschaffen und seitlich auf kritischere Teile der Infrastruktur eines Unternehmens zuzugreifen, um Ransomware-Angriffe auszuführen.
In Microsofts Bericht vom 9. April heißt es, dass Domain-Controller in mehr als 78 % der von Menschen durchgeführten Cyberangriffe angegriffen wurden, während in mehr als 35 % der Fälle ein Domain-Controller das primäre Gerät war, das zur Verbreitung von Ransomware im großen Stil verwendet wurde.
„In den letzten Jahren haben sich die von Menschen durchgeführten Cyberangriffe dramatisch verändert“, warnte Alon Rosental, Partner Director of Product Management for Endpoint Security bei Microsoft.
„Diese Angriffe, die früher durch sporadische und opportunistische Angriffe gekennzeichnet waren, haben sich zu hochentwickelten, gezielten Kampagnen entwickelt, die darauf abzielen, Unternehmen maximalen Schaden zuzufügen.“
Laut Rosental und dem übrigen Microsoft-Sicherheitsteam besteht das Problem darin, dass Bedrohungsakteure, die in der Lage sind, Domain-Controller-Systeme zu kompromittieren, dann Zugang zu Konten auf Administratorebene haben und auch direkten Zugriff auf Datenbanken und Server im Herzen des Netzwerks erhalten.
Die Übernahme eines Domänencontrollers ist der goldene Schlüssel für Bedrohungsakteure, die einen Ransomware-Angriff durchführen wollen, da sie die Identität und den Zugriff über Active Directory (AD) für jede lokale Umgebung verwalten.
„Um den Ransomware-Angriff so schnell und breit wie möglich durchzuführen, versuchen die Bedrohungsakteure, Zugang zu einem zentralen Asset im Netzwerk zu erhalten, das vielen Endpunkten ausgesetzt ist“, erklärt Rosental.
„So können sie den Besitz von Konten mit hohen Rechten ausnutzen und sich mit allen Geräten verbinden, die in ihrer Sichtlinie liegen.“
Um das Problem zu beheben, rät das Sicherheitsteam von Microsoft den Administratoren, besonders darauf zu achten, wie externe Benutzer auf Domänencontroller zugreifen können und welche Berechtigungen für Endbenutzer erforderlich sind.
Es überrascht nicht, dass Microsofts Antwort auf das Problem ein Abonnement für ein Microsoft-Produkt ist. Das Unternehmen hat seine Defender for Endpoint-Plattform mit Eindämmungsfunktionen für Systeme aktualisiert, die als High-Value-Assets eingestuft sind, einschließlich Domänencontrollern.
Das Ziel ist es, Administratoren eine präzisere Kontrolle über Systeme zu ermöglichen, die sowohl für die Datensicherheit sensibel sind als auch für Endbenutzer und das öffentliche Internet zugänglich sein müssen.
„Im Gegensatz zu anderen Endpunkten müssen Domänencontroller hochgradig zugänglich bleiben, um Benutzer zu authentifizieren, Richtlinien durchzusetzen und Ressourcen in der gesamten Umgebung zu verwalten“, so Rosental.
"Dieses Maß an Zugänglichkeit macht es schwierig, herkömmliche Sicherheitsmaßnahmen anzuwenden, ohne die Geschäftskontinuität zu beeinträchtigen. Daher stehen die Sicherheitsteams ständig vor der komplexen Herausforderung, das richtige Gleichgewicht zwischen Sicherheit und betrieblicher Funktionalität zu finden.
Dieser offizielle Bericht seitens MS, wurde letzten Mittwoch, den 09.04.2025, aus der Redmonder Konzernzentrale erst an alle großen Partner geschickt!
Irgendwie fand dieser besorgniserregende Text den Weg in die Freiheit…?!
