Fest codierte Anmeldedaten können Sicherheitsrisiken bergen.

Secure Code Warrior setzt sich intensiv dafür ein, die Sicherheits- und Entwickler-Community darin zu schulen, wie man Code sicher schreibt und das Risiko von Schwachstellen durch unsicheren Code minimiert. In diesem Zusammenhang nutzen wir die aktuelle Entwicklung des Sicherheitsvorfalls bei Uber als Anlass, um über die Bedeutung von entwicklerzentrierter Sicherheit und den Shift-Left-Ansatz zu diskutieren.

Sicherheitsvorfall bei Uber

Uber hat am 16. September eine Stellungnahme zu dem Cybersicherheitsvorfall veröffentlicht und aktualisiert diese laufend. Leser sollten beachten, dass es sich um eine fortlaufende Geschichte handelt. Fassen wir zusammen, was wir durch Ubers Ankündigung und andere seriöse Berichte aus der Sicherheits-Community bisher erfahren haben.

Der Hacker begann mit Social Engineering gegen einen Uber-Mitarbeiter, nachdem er dessen WhatsApp-Nummer ausfindig gemacht hatte. Der Angreifer kontaktierte die Person und versuchte, durch Phishing an Zugangsdaten zu gelangen, indem er den ahnungslosen Mitarbeiter dazu brachte, sich auf einer gefälschten Uber-Seite anzumelden, um so Benutzernamen und Passwort abzugreifen.

Uber-Konten sind durch Multi-Faktor-Authentifizierung (MFA) geschützt. Das bedeutet, dass der Benutzer neben dem Passwort einen zweiten Nachweis zur Identitätsbestätigung erbringen muss. In den meisten Fällen handelt es sich dabei um eine Push-Benachrichtigung an ein Mobilgerät.

Nachdem der Angreifer die Zugangsdaten erlangt hatte, startete er einen MFA-Fatigue-Angriff, indem er kontinuierlich versuchte, sich auf der echten Uber-Seite anzumelden, und den Mitarbeiter mit zahlreichen Push-Benachrichtigungen auf dessen Gerät überflutete. Wieder kontaktierte der Angreifer das Opfer über WhatsApp. Diesmal gab er sich angeblich als IT-Support aus und überzeugte den Mitarbeiter erfolgreich, die Anfrage zu bestätigen.

Hartcodierte Zugangsdaten

Die Grundlage für den Sicherheitsverstoß bei Uber war ein erfolgreicher Phishing-Angriff. Sobald der Eindringling im System war, fand er Netzwerkfreigaben mit PowerShell-Skripten. Eines dieser Skripte enthielt die hartcodierten Zugangsdaten eines Administrators, was zur Kompromittierung interner Uber-Dienste wie AWS, G-Suite und Code-Repositories führte. Der Hacker erhielt auch Zugriff auf das HackerOne-Konto von Uber. Laut Uber wurden jedoch „alle Fehlerberichte, auf die der Angreifer zugreifen konnte, bereits behoben“.

Möchten Sie sehen, wie diese Schwachstelle im Code aussieht? Probieren Sie unsere PowerShell-Challenge kostenlos aus.

Wie häufig kommen solche Angriffe vor?

Social Engineering als Angriffsvektor ist schwer abzuwehren, da der Mensch schon immer als das schwächste Glied in der Cybersicherheit galt. Der Uber-Hack hat deutlich gezeigt, dass MFA-Implementierungen leicht umgangen werden können. Der Schlüssel zur Prävention liegt darin, das Bewusstsein der Mitarbeiter für die Funktionsweise von Phishing-Angriffen zu schärfen.

Die Ursache für die Offenlegung der internen Dienste von Uber waren jedoch der Benutzername und das Passwort des Administrators, die in einem PowerShell-Skript gefunden wurden. Das Hartcodieren von Zugangsdaten ist niemals ratsam, da sie so für jeden Entwickler und grundsätzlich für jeden mit Zugriff auf den Code lesbar werden.

Aber auch hier gilt: Bewusstsein ist der Schlüssel! Entwickler mit einem sicherheitsorientierten Mindset erkennen Schwachstellen eher und neigen weniger dazu, diese in den Code einzubauen.

Ein zweigleisiger Ansatz aus allgemeiner Aufklärung über Social Engineering und gezieltem, proaktivem Training für sicheres Programmieren reduziert die Anzahl der Schwachstellen in einer Codebasis und erweist sich daher als entscheidend im Kampf gegen Sicherheitsbedrohungen.

Möchten Sie mehr darüber erfahren, wie Sie bei bewährten Methoden für sicheres Programmieren auf dem Laufenden bleiben? Schauen Sie sich den Secure Code Coach an. Hier können Sie Richtlinien für sicheres Programmieren lernen und kostenlose Trainingsübungen ausprobieren.