• IT-Karriere:
  • Services:

Firewall-Umgehung: Kriminelle nutzen Intel AMT für Angriffe

Microsoft warnt vor Angriffen der Platinum-Gruppe, die Intels Active Management ausnutzen. Dabei geht es allerdings nicht um die vor einigen Wochen entdeckte Sicherheitslücke in der Technologie.

Artikel veröffentlicht am ,
Angreifer nutzen Intel AMT, um Dateien zu kopieren.
Angreifer nutzen Intel AMT, um Dateien zu kopieren. (Bild: Microsoft)

Kriminelle nutzen offenbar Intels Active-Management-Technologie (AMT), um Angriffe gegen Firmennetzwerke durchzuführen. Dabei nutzen sie nicht die vor wenigen Wochen bekannt gewordene Sicherheitslücke aus, die eine Anmeldung ohne Zugangsdaten ermöglichte, sondern nutzen Grundfunktionen der Technologie, wie Microsoft berichtet. Mehrere Systeme in Südostasien sollen so angegriffen worden sein.

Stellenmarkt
  1. FRISTO GETRÄNKEMARKT GmbH, Buchloe
  2. i22 Digitalagentur GmbH, Bonn

Mit dem Angriff können unter anderem Dateien auf einen Rechner transferiert werden, ohne dass klassische Sicherheitsmechanismen wie Firewalls und Virenscanner davon etwas mitbekommen. Voraussetzung ist, dass Angreifer zunächst Administratorrechte erlangen. Die Hürde ist recht hoch, die Technologie könnte aber nach einer ersten Infektion des Netzwerkes genutzt werden, um weitere Angriffe unerkannt durchzuführen.

Virtueller Serieller Port wird ausgenutzt

Die von Microsoft Platinum genannte Gruppe nutzt den Serial-over-Lan-Port von AMT, um Dateien auf den Rechner zu kopieren. Die Funktion ist eigentlich dafür gedacht, Betriebssystem-Images für eine Installation aus der Ferne aufzuspielen. Weil der Datentransfer unterhalb der Betriebssystemebene stattfindet, ist er für klassische Netzwerküberwachungstools nicht sichtbar. Weil AMT einen eigenen Netzwerkstack nutzt, sind entsprechende Angriffe theoretisch nicht auf Windows allein beschränkt, wobei Microsoft bislang nur Angriffe auf das eigene Betriebssystem erwähnt.

Um AMT für den vorgestellten Zweck zu nutzen, brauchen Angreifer die Zugangsdaten - es sei denn, AMT ist aktiviert und die Firmware ist nicht um die Authentifizierungsschwachstelle bereinigt. Ist der Zugang einmal aktiviert, wird die AMT Technology SDK Redirection Library API geladen und der Dateitransfer gestartet.

Microsoft hat nach eigenen Angaben ein Update für Windows Defender Advanced Threat Protection entwickelt, das die ungewöhnlichen Datentransfers erkennen soll und Nutzer vor der Aktivität warnt. Das Unternehmen weist explizit darauf hin, dass der Angriff keine Schwachstelle in Intels AMT ausnutzt, sondern eine missbräuchliche Nutzung der Technologie darstellt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (aktuell u. a. Tropico 5: Complete Collection für 9,99€, 10 Second Ninja X für 0,99€, Devil...
  2. (u. a. Assetto Corsa Competizione für 18,99€, Euro Truck Simulator 2 - Gold Edition für 7...
  3. (u. a. Oculus Go 64GB für 178,45€, PS4 1TB Ghost of Tsushima Bundle mit 2. Dualshock 4 für 328...

cpt.dirk 11. Jun 2017

Danke für deinen aufschlussreichen Bericht! Kannst du zufälligerweise zu WfM ("Wired for...

Crass Spektakel 10. Jun 2017

AMT ist cofveve

daydreamer42 09. Jun 2017

Nein, wirklich nicht!1!! :)


Folgen Sie uns
       


Cyberpunk 2077 angespielt

Cyberpunk 2077 dürfte ein angenehm forderndes und im positiven Sinne komplexes Abenteuer werden.

Cyberpunk 2077 angespielt Video aufrufen
    •  /