• IT-Karriere:
  • Services:

Automatisierbarer Angriff

Für wahrscheinlicher hält Bogner es, dass ein Angreifer die Kontonummer einer bereits eingegebenen, aber noch nicht ausgeführten Transaktion ändern würde. Das falle vermutlich nicht sofort ins Auge. Aus Sicht eines Pentesters sei es jedoch viel interessanter, das gesamte System zu übernehmen, schreibt Bogner in seinem Blogbeitrag. Auch das gelang. Mithilfe von xp_cmdshell ließen sich Anwendungen auf dem darunterliegenden System ausführen und sogar neue Administratoren im Windows-System anlegen.

Stellenmarkt
  1. DESAGA GmbH, Wiesloch
  2. operational services GmbH & Co. KG, Wolfsburg, Hannover

"Der Angriff war aufwendig, aber er ist automatisierbar", so Bogner weiter. Mittlerweile hat er ein Python-Exploit-Skript veröffentlicht, mit dem sich der Angriff nachvollziehen lässt. Um die frühere Schwachstelle ausnutzen zu können, hätte das System im lokalen Netzwerk erreichbar sein müssen. "Ich vermute, der Angriff wäre vor allem bei größeren Firmen interessant gewesen", sagt Bogner. "Durch Phishing hätte jemand Malware im Firmennetzwerk platzieren und so auf den von der Anwendung genutzten Port zugreifen können."

  • Der User "connector" mit auffällig beschränkten Zugriffsrechten. (Screenshot: Florian Bogner)
  • Mit einem Python-Skript lässt sich der Angriff automatisieren (Screenshot: Florian Bogner)
Mit einem Python-Skript lässt sich der Angriff automatisieren (Screenshot: Florian Bogner)

Im Gespräch mit Golem.de betont Bogner wiederholt, dass die Zusammenarbeit mit der Raiffeisen Software außerordentlich gut und professionell gewesen sei und schnell reagiert worden sei. Auf Anfrage von Golem.de berichtet die Raiffeisen Software, nach der Meldung von Bogner habe das Unternehmen gemeinsam mit ihm, der eigenen Security-Stabsstelle und einem staatlich geprüften Sachverständigen ein zweistufiges Konzept erarbeitet.

Im ersten Schritt sei eine Version bereitgestellt worden, bei der der Login-Prozess unter anderem mehrstufig gestaltet worden sei. "In einem zweiten Schritt wurde mit Hilfe architektonischer Anpassungen - Login mit Benutzereingaben, One-time Credentials, keine parallelen Verbindungen auf die Datenbank - das Angriffsszenario zur Gänze unterbunden", so das Unternehmen. Über das notwendige Update seien alle Kunden informiert worden. Auf der Konferenz IT-SECX werden Florian Bogner und Raphael Zoidl, Application Security Manager bei Raiffeisen Software, den Exploit gemeinsam vorstellen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 IT-Sicherheit: Sicherheitslücke in Banking-Software ELBA-business
  1.  
  2. 1
  3. 2


Anzeige
Hardware-Angebote
  1. (u. a. Ryzen 5 5600X 358,03€)

M.P. 20. Nov 2018

Als was? Als ELBA? Das würde ich unterschreiben. Aber, als z. B. mit Hibiscus/Jameica...

Howaner 17. Nov 2018

Verbindet sich die Client Software etwa direkt zur SQL Datenbank? Mit so einem...


Folgen Sie uns
       


Samsung Galaxy S21 Ultra vorgestellt

Das Galaxy S21 Ultra ist das Topmodell von Samsungs neuer S21-Reihe und unterscheidet sich deutlich von den beiden anderen Modellen.

Samsung Galaxy S21 Ultra vorgestellt Video aufrufen
Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /