Was ist passiert?
Der Sicherheitsforscher Dirk-jan Mollema hat eine kritische Sicherheitslücke demonstriert: Malware, die bereits in einer angemeldeten Windows-Sitzung läuft, kann stillschweigend die Windows Hello for Business-Keys des Opfers missbrauchen, um sich bei Microsoft Entra ID zu authentifizieren. Angreifer können dadurch persistenten Cloud-Zugriff etablieren, eigene Geräte registrieren und Primary Refresh Tokens (PRT) sowie zusätzliche Authentifizierungsmethoden erlangen.
Hintergrund & Bedeutung
Windows Hello for Business gilt als sichere biometrische Authentifizierungsmethode. Die Entdeckung zeigt jedoch, dass die lokalen Schlüssel durch Malware auf dem gleichen System ausgenutzt werden können. Dies ist besonders kritisch, da Angreifer damit die Multi-Faktor-Authentifizierung umgehen und langfristigen Zugriff auf Cloud-Ressourcen in Microsoft Entra ID sichern können. Die Attacke ermöglicht es Cyberkriminellen, ihre Präsenz zu festigen und weitere Sicherheitsmechanismen zu durchbrechen.
Empfehlungen für IT-Teams
- Endpoint Detection and Response (EDR): Implementierung oder Verbesserung von EDR-Lösungen zur Erkennung verdächtiger Prozessaktivitäten
- Privileged Access Management: Strikte Kontrolle administrativer Zugriffsrechte zur Malware-Verbreitung minimieren
- Conditional Access Policies: Aktivierung risikobasierter Zugriffrichtlinien in Entra ID
- Windows Defender Credential Guard: Aktivierung zum Schutz von Authentifizierungsanmeldedaten
- Regelmäßige Sicherheitsupdates: Zeitnahe Installation von Windows- und Microsoft-Patches
Fazit
Die Schwachstelle verdeutlicht, dass lokale Sicherheitsmechanismen durch Malware kompromittiert werden können. Unternehmen müssen mehrschichtige Sicherheitsstrategien implementieren, die Endpunktsicherheit mit Cloud-basierten Kontrollmechanismen kombinieren.
Quelle: Original Artikel