Sicherheitslücke: FBI-Server gehackt und Spam-Mails versendet

Über eine Schwachstelle auf einem FBI-Server konnten Angreifer Spam-E-Mails versenden. Diese warnten im Namen des FBI vor einem Hacker-Angriff.

Artikel veröffentlicht am 15. November 2021, 10:51 Uhr, Moritz Tremmel

Unfreiwillige Briefträger oder FBI-Ermittler? (Bild: Robyn Beck/AFP via Getty Images)

Unbekannte haben eine Schwachstelle auf einem Server der US-Bundespolizei FBI gehackt und E-Mails mit Spam über diese verbreitet. Die E-Mails warnten vor einem vermeintlich ausgeklügelten Angriff auf das Netzwerk des E-Mail-Empfängers. Sie konnten über eine Schwachstelle versendet werden.

Laut der Anti-Spam-Plattform Spamhaus wurden allein in den Morgenstunden des 13. November 2021 Zehntausende solcher E-Mails in mehreren Wellen über die Server des FBI versendet. Die Nachrichten stammten von der legitimen E-Mail-Adresse [e-mail], die zum Law Enforcement Enterprise Portal (Leep) gehört, und trug den Betreff "Dringend: Bedrohungsakteur in Systemen".

Alle E-Mails seien von der IP-Adresse 153.31.119.142 (mx-east-ic.fbi.gov) des FBI gesendet worden, erklärte Spamhaus. Da der echte Mailserver verwendet wurde, stimmen auch Signaturen wie DKIM, welche die Authentizität des Absenderservers bestätigen. Nach einer konservativen Schätzung soll die E-Mail mindestens 100.000 E-Mail-Postfächer erreicht haben.

Schwachstelle auf der Webseite des FBIs

Laut dem Journalisten Brian Krebs, der Kontakt zu den Angreifern hatte, war es möglich, über eine Schwachstelle auf der Webseite des FBI entsprechende E-Mails zu versenden. Demnach konnte jeder ein Konto bei dem Leep-Portal beantragen, das anschließend eine Bestätigungsmail mit einem Code versandte.

Diesen Code entdeckten die Angreifer jedoch in dem HTML-Code der Webseite und stellten fest, dass sie sowohl den Betreff als auch Inhalt und E-Mail-Adresse abändern konnten. Auf diese Weise konnten sie sich selbst eine Bestätigungsmail über den Mailserver senden und anschließend per Skript automatisiert mehrere Wellen an Spam-E-Mails.

"Das FBI ist sich einer Software-Fehlkonfiguration bewusst, die es einem Akteur vorübergehend ermöglichte, das Law Enforcement Enterprise Portal (Leep) zu nutzen, um gefälschte E-Mails zu versenden", erklärte das FBI dem Onlinemagazin Bleepingcomputer. "Leep ist die IT-Infrastruktur des FBI, die zur Kommunikation mit unseren staatlichen und lokalen Strafverfolgungspartnern genutzt wird. Die gefälschten E-Mails stammten zwar von einem vom FBI betriebenen Server, doch war dieser Server ausschließlich für den Versand von Benachrichtigungen für Leep zuständig und nicht Teil des unternehmenseigenen E-Mail-Dienstes des FBI."

Entsprechend hätten die Angreifer nicht auf Daten im Netzwerk des FBI zugreifen können, betonte die Strafverfolgungsbehörde. Die Schwachstelle sei, nachdem das FBI von ihr erfahren habe, schnell behoben worden.