/ Security / Firewall-Umgehung: Kriminelle nutzen Intel AMT für Angriffe

Firewall-Umgehung: Kriminelle nutzen Intel AMT für Angriffe

128298-141065-i_rc.jpg
Moritz Rosenfeld on June 10, 2017 - 10:30 am in Security

Kriminelle nutzen offenbar Intels Active-Management-Technologie (AMT), um Angriffe gegen Firmennetzwerke durchzuführen. Dabei nutzen sie nicht die vor wenigen Wochen bekannt gewordene Sicherheitslücke aus, die eine Anmeldung ohne Zugangsdaten ermöglichte, sondern nutzen Grundfunktionen der Technologie, wie Microsoft berichtet. Mehrere Systeme in Südostasien sollen so angegriffen worden sein.

Mit dem Angriff können unter anderem Dateien auf einen Rechner transferiert werden, ohne dass klassische Sicherheitsmechanismen wie Firewalls und Virenscanner davon etwas mitbekommen. Voraussetzung ist, dass Angreifer zunächst Administratorrechte erlangen. Die Hürde ist recht hoch, die Technologie könnte aber nach einer ersten Infektion des Netzwerkes genutzt werden, um weitere Angriffe unerkannt durchzuführen.

Virtueller Serieller Port wird ausgenutzt

Die von Microsoft Platinum genannte Gruppe nutzt den Serial-over-Lan-Port von AMT, um Dateien auf den Rechner zu kopieren. Die Funktion ist eigentlich dafür gedacht, Betriebssystem-Images für eine Installation aus der Ferne aufzuspielen. Weil der Datentransfer unterhalb der Betriebssystemebene stattfindet, ist er für klassische Netzwerküberwachungstools nicht sichtbar. Weil AMT einen eigenen Netzwerkstack nutzt, sind entsprechende Angriffe theoretisch nicht auf Windows allein beschränkt, wobei Microsoft bislang nur Angriffe auf das eigene Betriebssystem erwähnt.

Um AMT für den vorgestellten Zweck zu nutzen, brauchen Angreifer die Zugangsdaten – es sei denn, AMT ist aktiviert und die Firmware ist nicht um die Authentifizierungsschwachstelle bereinigt. Ist der Zugang einmal aktiviert, wird die AMT Technology SDK Redirection Library API geladen und der Dateitransfer gestartet.

Microsoft hat nach eigenen Angaben ein Update für Windows Defender Advanced Threat Protection entwickelt, das die ungewöhnlichen Datentransfers erkennen soll und Nutzer vor der Aktivität warnt. Das Unternehmen weist explizit darauf hin, dass der Angriff keine Schwachstelle in Intels AMT ausnutzt, sondern eine missbräuchliche Nutzung der Technologie darstellt.

Read more on: Source

Comments are disabled