Koordinierte Angriffe auf Okta-Kunden Wichtige Lektionen aus den identitäts­basierten Angriffen auf Okta

Anbieter zum Thema

BeyondTrust

FTAPI Software GmbH

Pathlock Deutschland GmbH

Anfang Oktober 2023 entdeckte das Sicherheitsunternehmen BeyondTrust einen identitätsbasierten Angriffsversuch auf ein internes Administratorkonto. Mit einem gültigen Session-Cookie, das aus dem Support-System von Okta kopiert wurde, wollten sich Angreifer weiteren Zugang zu sensiblen Kundendaten verschaffen. Der Vorfall ist beispielhaft für die wachsende Gefahr durch identitätsbasierte Angriffe auf Firmennetze, aber es gibt Gegenmittel.

Am 2. Oktober 2023 forderte ein Okta-Support-Mitarbeiter einen BeyondTrust-Administrator auf, für das firmeneigene Okta-Kundenkonto eine HAR-Datei zu generieren, um bei der Lösung eines laufenden Support-Problems zu helfen. HAR-Dateien sind HTTP-Archive, die von einem Webbrowser generiert werden können, um Interaktionen mit einer Website zu protokollieren, in diesem Fall zum Debuggen einer Website. Der Administrator kam der Aufforderung nach und generierte die HAR-Datei mit einer API-Anfrage und einem Session-Cookie, die in das Okta-Supportportal hochgeladen wurde.

Das Okta-Administratorkonto wurde mit FIDO2-Authentifizierung geschützt. Außerdem erlaubte die Richtlinienkonfiguration den Zugriff auf die Admin-Konsole nur von verwalteten Geräten aus, auf denen Okta Verify installiert war. Innerhalb von 30 Minuten nachdem die Datei in das Support-Portal von Okta hochgeladen wurde, versuchte ein Angreifer, mit dem Session-Cookie des Support-Tickets verschiedene Aktionen in BeyondTrusts Okta-Umgebung auszuführen.

Gemäß den benutzerdefinierten Richtlinien für den Zugriff auf die Admin-Konsole wurden diese Anfragen zunächst blockiert. Deshalb wechselten die Angreifer auf Admin-API-Aktionen, die mit dem gestohlenen Session-Cookie authentifiziert wurden. Die Ausführung von Admin-API-Aktionen kann nicht auf die gleiche Weise durch Richtlinien geschützt werden wie der tatsächliche Zugriff auf die Admin-Konsole. Über den API-Umweg wurde daraufhin ein Backdoor-Benutzerkonto mit einer Namenskonvention wie bei regulären Dienstkonten erstellt.

Unbemerkt waren diese Vorgänge indes nicht geblieben. Die eigene BeyondTrust-Lösung „Identity Security Insights“ zur Kontrolle von digitalen Identitäten und Berechtigungen alarmierte das interne Sicherheitsteam von BeyondTrust über die ungewöhnlichen Aktionen. Das Backdoor-Benutzerkonto wurde daher sofort deaktiviert und Angreifern damit der Zugriff entzogen, bevor das Konto verwendet werden konnte. Weitere Hinweise auf unregelmäßige Aktivitäten bei anderen privilegierten Okta-Benutzern oder die Erstellung weiterer verdächtiger Konten gab es nicht.

In einem Podcast berichtet BeyondTrusts CTO Marc Maiffret ausführlich darüber, wie der Angriffsversuch am Monatsbeginn ablief. Nachdem man alle Zugriffsversuche blockiert hatte und sichergestellt wurde, dass Angreifer tatsächlich keine Kontrolle über IT-Systeme hatten, leitete man weitere Maßnahmen ein. So baute das IT-Sicherheitsteam umgehend eine glaubhafte Netzwerkumgebung als Honeypot auf, um das Verhalten des Angreifers bei weiteren Zugriffsversuchen studieren zu können.

Aufschlüsselung des Okta-Angriffs

In den zurückliegenden Wochen gab es mehrere Medienberichte über koordinierte Angriffe auf Okta-Kunden, die ähnlich abgelaufen sind. Die Angreifer gingen dabei in vier Schritten vor:

Grafik: Okta-Angriffsverlauf

1. Angriffsziel Super Admins

Im ersten Schritt werden Benutzerkonten mit hohen Berechtigungen ins Visier genommen. Insbesondere Konten mit Super-Admin-Berechtigungen gehören zum Beuteschema. Durch Phishing oder Gerätekompromittierung versuchen Angreifer, an die Passwörter der privilegierten Benutzerkonten zu gelangen.

2. Social-Engineering-Attacke auf Helpdesk

Allerdings reichen Passwörter allein für eine Authentifizierung auf den betreffenden Konten nicht aus, weil normalerweise eine Multi-Faktor-Authentifizierung (MFA) erforderlich ist. Schwächere MFA-Methoden lassen sich aber mittels MFA Fatigue / MFA Bombing oder sogar mit SIM-Swapping aushebeln, um Konten zu übernehmen.

Werden stärkere MFA-Verfahren wie FIDO2 eingesetzt, wenden sich Angreifer auch direkt an Helpdesk-Techniker, die durch Social Engineering dazu verleitet werden sollen, die Authentifizierung eines Kontos zurückzusetzen. Mit einigen grundlegenden Informationen über den Benutzer lassen sich im Verlauf des Wiederherstellungsprozesses fremde Konten übernehmen. Bedrohungsakteure wie die Hackergruppe LAPSUS$ setzen diese Angriffstechnik erfolgreich gegen eine Reihe von Organisationen und Konten ein.

3. Missbrauch digitaler Identitäten

Mit höheren Zugriffsrechten oder als Superadministrator können sich Hacker seitwärts im Unternehmensnetz bewegen, fallweise die Berechtigungen erhöhen und im Verborgenen eine Hintertür in der IT-Umgebung einrichten. Die Missbrauchsmöglichkeiten digitaler Identitäten gehen damit ins Uferlose — schließlich sind lokale Netzwerkressourcen und in der Cloud verwaltete Dienste eng miteinander verzahnt.

4. Falsche Identitäten: Zugriff und Wirkung

Die Kompromittierung eines Okta-Kontos als Identity Provider (IdP) würde breiten Zugriff auf unterschiedliche Ressourcen und Services ermöglichen. Angreifer können sich als legitime Benutzer ausgeben und nachgelagerte Anwendungen ansteuern. Kompromittierte Identity Provider können so konfiguriert werden, dass sie als „Identitätswechsel-App“ fungieren und einem vom Angreifer kontrollierten Konto ermöglichen, sich als ein legitimes Benutzerkonto auszugeben. Dies ermöglicht es dem Angreifer sogar, Single Sign-On (SSO) bei Anwendungen zu nutzen.

Haben Angreifer die Identitätsinfrastruktur mithilfe von Verbundvertrauensstellungen (auch als „Org2Org“ bezeichnet) kompromittiert, sind viele gängige Reaktionen auf Sicherheitsverletzungen wirkungslos. Wenn zum Beispiel der Verdacht aufkommt, dass ein legitimer Benutzer kompromittiert wurde, hindert auch die Rücksetzung der Anmeldedaten einen Angreifer nicht daran, weiterhin unter falscher Benutzeridentität vorzugehen.

Schutz vor identitätsbasierten Angriffen

Deshalb ist es von entscheidender Bedeutung, diese Risiken und Angriffe auf die Identitätsinfrastruktur so früh wie möglich zu erkennen. Welche Abwehrstrategien sind am wirkungsvollsten gegen Angreifer, die digitale Identitäten und Zugangsdaten stehlen möchten?

Phishing-Resistenz: Die Verwendung einer Phishing-resistenten Authentifizierung, wie zum Beispiel FIDO2, wird dringend empfohlen, insbesondere für jede Art von privilegierten Konten. Nicht alle Formen der Multi-Faktor-Authentifizierung (MFA) bieten das gleiche Sicherheitsniveau. Bei den jüngsten Angriffen war zu beobachten, dass telefonbasierte MFA-Verfahren wenig bis gar keinen Schutz gegen Bedrohungsakteure gewährleisten.

Selbst zeitbasierte Einmalpasswörter (OTPs) können von modernen Phishing-Kits oder Token-Hijacking-Angriffen hintergangen werden. Mit sicherheitsbasierten Richtlinien für Anmeldungen und kontrollierte Zugriffe sollten IT-Verantwortliche dafür sorgen, dass Benutzer über das richtige Gerät, den richtigen Standort oder das richtige Netzwerk zusätzlich authentifiziert werden, bevor privilegierte Aktivitäten ausgeführt werden können.

Implementierung und Durchsetzung von Least-Privilege-Rechten: Eine genaue Zuordnung privilegierter Rollen und eine klare Sicht auf alle Vorgänge sind in Unternehmensumgebungen genauso wichtig wie die Beschränkung der gewährten Berechtigungen. Häufig werden Kontenberechtigungen nur für eine Einmalaufgabe benötigt, um beispielsweise eine neue HR-App in Okta hinzuzufügen. Nach Erledigung dieser Aufgabe bleiben sie trotzdem dauerhaft verfügbar, anstatt sie wieder zu entfernen — ein echtes Dauerrisiko für Unternehmen.

Nach dem Prinzip der geringsten Rechte (Principle of Least Privilege) sollten Mitarbeiter nur über diejenigen Rechte verfügen, die sie auch tatsächlich zur Erfüllung ihrer Aufgaben benötigen. Insbesondere Accounts mit hohen Berechtigungen sind gefährdet, beispielsweise wenn es sich um einen Okta-Superadministrator oder um privilegierte Konten im Unternehmensumfeld handelt.

Auditierung und Neujustierung von Benutzerprivilegien: Wichtig ist, alle Benutzerprivilegien im Blick zu behalten und proaktiv einzuschränken, bzw. bei Bedarf temporär zu erhöhen. Welche Benutzer dürfen zu welchem Zweck und wann welche Prozesse steuern? Kommen dabei Kontokennwörter oder MFA-Resets zum Einsatz, die auch Angreifer ausnutzen könnten? Es gilt alle Änderungen an Berechtigungen und Zugriffen kontinuierlich zu überwachen und zu analysieren. Auf diese Weise wird sichergestellt, dass es nicht zu einer heimlichen Nutzung oder einem Missbrauch von Privilegien durch Unbefugte kommt.

Abwehr identitätsbasierter Bedrohungen im Unternehmen

Eine steigende Zahl von Angriffen auf die Identitätssicherheit nutzen Sichtbarkeitslücken zwischen Identity Access Management-Tools und herkömmlichen Sicherheitstools aus. Digitale Identitäten mit höheren Berechtigungen stehen im Mittelpunkt der aktuellen Angriffswelle, da Hacker stärker auf gekaperte Benutzerkonten und Social Engineering als auf Exploits und Malware setzen. Zur Bewältigung dieser Herausforderungen sind nicht nur Tools erforderlich, die für mehr Transparenz und Kontrolle sorgen, Risiken reduzieren und Bedrohungen erkennen. Notwendig sind auch organisatorische Maßnahmen, um Sicherheitsanforderungen für digitale Identitäten und Zugriffe bewältigen zu können.

Über den Autor: Mohamed Ibbich ist Director Solutions Engineering bei BeyondTrust.

(ID:49834749)