Outlook Web Access mit Sicherheitslücken

Sicherheitsexperten von Cybereason berichten von einem erfolgreichen Angriff über Outlook Web Access (OWA), bei dem Benutzernamen und E-Mail-Passwörter von über 11.000 Mitarbeitern einer großen Organisation erbeutet wurden. Die dabei eingesetzte Malware wurde über Monate hinweg nicht bemerkt, obwohl durch sie letztlich die gesamte IT-Umgebung der Firma kompromittiert wurde.

Aufgrund verschiedener Auffälligkeiten vermutete das Sicherheitsteam des betroffenen Unternehmen schließlich jedoch eine Infektion des OWA-Servers, der den Abruf von E-Mails per Webmail erlaubt. Eine Analyse durch Cybereason ergab, dass die Angreifer Outlook Web Access ausnutzen konnten, um alle Anmeldedaten mitzuschneiden und zugleich eine Backdoor in der Infrastruktur des Opfers einzurichten.

Verursacht wurde das Problem durch eine verdächtige DLL-Datei, die auf dem OWA-Server geladen war. „Obwohl sie die Bezeichnung einer anderen und harmlosen DLL hatte, war die verdächtige DLL unsigniert und wurde aus einem anderen Verzeichnis geladen“, heißt es in der Analyse (PDF) der Sicherheitsfirma. Die Software war raffiniert genug, auch nach jedem Neustart des Servers für ihr erneutes Laden zu sorgen.

In einem lokalen Cache legte die Malware über 11.000 abgefangene Paare von Benutzernamen und Passwort ab – und diese konnten aus der Ferne abgerufen werden. Ungeklärt blieb, wie die bösartige Software ihren Weg auf den Server fand. Verschärft wurde das Problem laut Cybereason dadurch, dass OWA-Authentifizierung auf Domain-Zugangsdaten basiert: „Wer immer Zugang zum OWA-Server erhält, wird Besitzer der Domain-Anmeldedaten der gesamten Organisation.“

Da die manipulierte DLL auf dem Server lief, konnte sie alle HTTPS-geschützten Serveranfragen nach ihrer Entschlüsselung abfangen. „Den Hackern gelang es in diesem Fall, auf strategisch wichtigem Boden Fuß zu fassen, dem OWA-Server“, schreiben die Sicherheitsforscher weiter. „Fast per definitionem verlangt OWA von Organisationen, relativ laxe Einschränkungen zu bestimmen.“ OWA sei ein besonders interessantes Ziel für Angreifer, da es als Vermittler zwischen dem öffentlichen Internet und internen Ressourcen hinter der Firewall einer Firma fungiert.

Cybereason geht von einem gezielten Angriff auf die ungenannte Organisation aus, Keine Aussagen machten die Sicherheitsexperten dazu, ob bereits weitere Unternehmen dieser Angriffsmethode ausgesetzt waren.