werthGHOST: Das weltweit erste Post-Exploitation-Framework für SAP zur realistischen Simulation von Advanced Persistent Threats (APTs)

In der heutigen digitalen Landschaft werden Unternehmen immer wieder mit komplexen Bedrohungen und gezielten Angriffen konfrontiert. Sicherheitslösungen und präventive Maßnahmen alleine reichen oft nicht aus, um fortschrittliche, hartnäckige Bedrohungen (Advanced Persistent Threats, kurz APTs) erfolgreich abzuwehren. Um die Robustheit eines Sicherheitssystems wirklich zu testen, bedarf es eines Tools, das eine realistische Bedrohungssimulation bietet und Schwachstellen aufdeckt, bevor es ein Angreifer tut.

Hier kommt werthGHOST ins Spiel – das weltweit erste Post-Exploitation-Framework speziell für SAP-Systeme. Mit werthGHOST erhalten Unternehmen die Möglichkeit, APTs realistisch zu simulieren und Sicherheitsmechanismen auf die Probe zu stellen.

Was ist werthGHOST?

Der werthGHOST wurde entwickelt, um den nächsten Schritt in der Cybersecurity zu ermöglichen: die aktive und realistische Bedrohungssimulation in SAP-Umgebungen. Dabei geht es nicht nur um die Identifizierung von Schwachstellen, sondern um die Fähigkeit, reale Angriffsszenarien zu simulieren und darauf zu reagieren. Mit werthGHOST kann ein Unternehmen sein SAP-System wie nie zuvor testen und sicherstellen, dass Sicherheitsvorkehrungen und Detection-Systeme reaktionsfähig und belastbar sind.

Die wichtigsten Funktionen des werthGHOST

Unser Framework bietet eine breite Palette an Funktionalitäten, die es ermöglichen, Angriffe präzise zu simulieren und die Auswirkungen auf das SAP-System zu bewerten. Die Hauptfunktionen umfassen:

  • OS-Befehlsausführung: Ermöglicht das Ausführen von Betriebssystembefehlen direkt über das Framework, um zu testen, wie tief Angreifer vordringen könnten und wie gut das System abgesichert ist.
  • SQL-Befehlsausführung: Mit dieser Funktion können SQL-Befehle direkt in die Datenbank des SAP-Systems eingegeben werden. Dies simuliert eine Bedrohung, die auf sensible Unternehmensdaten abzielt.
  • Dateizugriff: Der Zugriff auf System- und Benutzerdateien ermöglicht eine weitere, realistische Simulation von Angriffen auf kritische Daten.
  • ABAP-Ausführung: Durch die Ausführung von ABAP-Code kann SAP-spezifischer Programmcode eingeschleust werden und Angriffe auf die Geschäftslogiken simuliert werden.
  • Socks Proxy: Diese Funktion dient der Umgehung von Sicherheitskontrollen und der Weiterleitung von Datenverkehr, wie es auch echte Angreifer häufig tun würden.
  • Lateral Movement: Der werthGHOST simuliert, wie sich ein Angreifer von einem kompromittierten System aus im Netzwerk weiterbewegen könnte. So lässt sich testen, ob das Sicherheitskonzept Angreifer in ihrer Bewegung zwischen verschiedenen Systemen aufhalten kann.

Vorteile von werthGHOST für Unternehmen

  1. Realitätsnahe Bedrohungssimulation: werthGHOST ermöglicht es reale Bedrohungsszenarien unter kontrollierten Bedingungen zu simulieren. Die Auswirkungen der Angriffe sind sichtbar und helfen dabei, Schwachstellen zu identifizieren.
  2. Testen und Verbessern von Erkennungssystemen: Mit werthGHOST lassen sich bestehende Sicherheitssysteme und Detection-Lösungen testen und optimieren. So können Unternehmen sicherstellen, dass Bedrohungen frühzeitig erkannt und abgewehrt werden können.
  3. Sicheres Testen ohne Betriebsunterbrechung: Das Framework wurde entwickelt, um SAP-Systeme realistisch und ohne Risiko für den laufenden Betrieb zu testen. Unternehmen können sicherstellen, dass ihre Daten und Prozesse auch während der Tests geschützt bleiben.
  4. Schulung und Weiterentwicklung des Sicherheitsteams: Die Simulation eines APTs mit werthGHOST gibt Sicherheitsteams die Möglichkeit, praxisnahe Erfahrung mit APTs und anderen fortschrittlichen Bedrohungen zu sammeln und sich so auf echte Angriffe vorzubereiten.

Fazit

In Zeiten wachsender Bedrohungen und zunehmender Komplexität der IT-Umgebungen benötigen Unternehmen Unterstützung, um sich auf Angriffe und Sicherheitsvorfälle realistisch vorbereiten. Der werthGHOST ist mehr als nur ein Test-Tool – es ist ein entscheidender Baustein für eine proaktive und zukunftssichere Sicherheitsstrategie.

Mit dem werthGHOST haben Unternehmen nun die Möglichkeit, ihre SAP-Systeme unter echten Bedingungen zu testen und das Vertrauen in ihre Sicherheitsmaßnahmen zu stärken. Zögern Sie nicht, uns zu kontaktieren, um mehr über den werthGHOST und seine Einsatzmöglichkeiten zu erfahren.


Über uns

Werth IT GmbH ist ein innovativer Anbieter für Sicherheitslösungen, die speziell für anspruchsvolle IT-Umgebungen entwickelt wurden. Wir setzen uns dafür ein, Unternehmen mit den besten Werkzeugen auszustatten, um ihre Systeme und Daten optimal zu schützen.

US-Cert warnt vor Cyberangriff auf SAP-Systeme

Kürzlich hat die US Homeland-Behörde die erste US-Warnmeldung für SAP-Systeme herausgegeben.

Gewarnt wird vor einer Schwachstelle in SAP Java Systemen, für die seit 2010 mit den SAP-Notes 1445998 und 1467771 Patches  verfügbar sind.

Laut der Meldung vom US-Cert haben Sicherheitsforscher Hinweise auf aktive Angriffe gegen 36 Unternehmen ermittelt.

Laut einem Artikel  von Reuters stützen die Sicherheitsforscher Ihre Erkenntnisse auf Einträge mit detaillierten Beschreibungen der Angriffswege in einen chinesischen Forum.

Eine kurze Suche bei Google führt zu diesem Forum. Dort lassen sich 41 Einträge finden, was zu der gemeldeten Anzahl von 36 Unternehmen passen kann, da ein Unternehmen oftmals mehr als ein SAP-System besitzt. Mit hoher Wahrscheinlichkeit handelt es sich hier, um das von den Sicherheitsforschern genannte Forum.

Schaut man sich die Einträge im Detail an, stellt man jedoch schnell fest, dass es sich hier um verantwortliche Schwachstellenmeldungen handelt, die allesamt vor der Veröffentlichung behoben wurden.

Ein Beweis für tatsächliche Cyberangriffe sollte belastbarer sein, als in die der Branche üblichen Vuln-Advisories und damit die hier existierenden Forumbeiträge.

Dennoch zeigt dieses Beispiel wie real die Gefahr von Angriffen auf SAP-Systemen ist. Immerhin haben chinesische Sicherheitsforscher angreifbare SAP-Systeme identifiziert und nachweisbar ausnutzen können. Dies zeigt auch, dass die Bedrohung durch bekannte Schwachstellen (diese hier ist 6 Jahre alt) signifikat größer ist als durch die viel zitierten 0-Day Angriffe.

Schützen Sie Ihre SAP-Systeme, um gegen Cyberangriffe gewappnet zu sein.

Unsere Lösung Werth Auditor erkennt zuverlässig Sicherheitslücken in SAP-Systemen und bietet Lösungen zur Eliminierung der ermittelten Schwachstellen.

SAP-ERP-System als Einfallstor für Cyberangriff auf US-Regierung – ca. 25.000 Datensätze von Regierungsangestellten gestohlen

Hacker sind Ende 2013 in die Netzwerke der U.S. Investigations Services, welche für die Überprüfung von Regierungsangestellten verantwortlich ist, eingedrungen und bis Ende Juni 2014 unentdeckt geblieben.
Die Untersuchungen des Vorfalls haben ergeben, dass das SAP-ERP-System von den Hackern als Einfallstor genutzt wurde.
Welche Schwachstelle genau ausgenutzt wurde, wird in dem Bericht nicht offen gelegt.

Es wird aber vermutet, dass die Angreifer mit staatlicher Unterstützung agiert haben.

 

Weitere Details zu dem Vorfall ist in folgenden Quellen zu finden:
http://www.nextgov.com/cybersecurity/2015/05/third-party-software-was-entry-point-background-check-system-hack/112354/
http://securityaffairs.co/wordpress/27499/cyber-crime/network-usis-compromised-cyber-attack.html
http://thehill.com/policy/cybersecurity/241588-report-hackers-infiltrated-security-contractor-using-third-party#.VVDynaRdLTc.twitter

SAP ERP System der Airports Authority of India (AAI) von Unbekannten lahmgelegt

Die Airports Authority of India (AAI) ist eine indische Regierungseinrichtung und verantwortlich für die Verwaltung der zivilen Luftfahrt in Indien. Einem Bericht auf Techworm ist nun zu entnehmen, dass Hacker am 19ten Juli 2014 einen schweren Cyberangriff auf die Behörde geführt haben.

Dies ist besonders kritisch, da die AAI 125 Flughäfen – darunter 11 internationale- sowie 25 Militärische Flughäfen mit zivilen Zugang betreut und die Angreifer Zugang zu kritischen Daten wie Flugrouten und Zugangsdaten zu dem Air Traffic Management System erhalten haben können.

Doch damit nicht genug. Fest steht, dass zunächst die Webseite der AAI gehackt wurde. Anschließend konnten die Hacker sogar bis zu dem ERP System vordringen. Erst im Juni 2013 verkündete die AAI die erfolgreiche Einführung Ihres neuen SAP ERP Systems. Knapp ein Jahr nach dem Go-Live haben Hacker nun dieses System sabotiert und erfolgreich Außer Betrieb gesetzt.

Dieser Vorfall zeigt sehr deutlich, dass SAP Systeme zwingend in dem Unternehmesweiten Sicherheitskonzept zu berücksichtigen sind. Aufgrund der zunehmenden Vernetzung gibt es keine isolierten und somit vermeintlich sicheren Bereiche mehr. Daher sind die hochkritischen ERP Systeme regelmäßig auf Schwachstellen zu testen. Nur so können Angriffen erfolgreich abgewehrt werden.

Erhöhen Sie jetzt die Sicherheit Ihrer SAP Systeme und Nuzten unsere Sicherheitslösung, weil Ihr Unternehmen schützenWERTH ist!

Lager-Scanner spähen Finanz- und ERP-Daten aus

Sicherheitsforscher der Firma TrapX haben kürzlich einen hoch präzisen Angriff auf ERP Systeme aufdecken können.

Die Angriffe konnten zur Lanxiang school (China) zurück verfolgt werden. Diese Universität hat bereits durch frühere Angriffe auf Google und Co. eine zweifelhafte Bekanntheit erreicht. Im Rahmen des Angriffs konnten die ERP Systeme zu 100% unter Kontrolle gebracht werden. Somit war ein Zugriff auf Finanzdaten und weitere kritische Unternehmensdaten ohne Einschränkung möglich.

 

Der Angriff selbst liest sich wie aus einem Hollywood-Film. Alle betroffenen Firmen haben Scanner derselben Chinesischen Firma für den Einsatz im Lager/Versand/Wareneingang angeschafft. Später stellte sich heraus, dass auf dem Embedded Windows Betriebssystem der Scanner ein Schadproramm ( Zombie Zero ) vorinstalliert war. Dieses hat nach Aktivierung der Scanner von Innen heraus das Netzwerk des Unternehmens anhand spezifischer Merkmale nach ERP-Finanz-Systemen durchsucht und diese kompromittiert.

 

Im zweiten Schritt wurde dann ein erweitertes Schadprogramm zur Kontrolle und Kommunikation mit dem ERP-System auf diesem nachgeladen. Diese Verbindungen konnten zur Lanxiang school verfolgt werden.
Letztlich konnte diese Verbindung genutzt werden um alle Finanz- und ERP-Daten abfließen zu lassen.

 

Abschließend lässt sich sagen, dass durch die Integration der Schadsoftware in ein “vertrauenswürdiges” Produkt ein Angriff von Innen möglich wurde. Moderne Angreifer müssen somit nicht länger die Unternehmensfirewall überwinden oder auf erfolgreiche Phishing-Emails hoffen. Schadprogramme werden einfach in Hardware eingepflanzt. Laut TrapX haben selbst die bei den betroffenen Firmen eingesetzten traditionellen Sicherheitsvorkehrungen wie ein IDS den Angriff nicht stoppen oder erkennen können.

 

Man benötigt hier einen alternativen Ansatz um potentiellen Schaden abzuwenden. Dieser besteht in der kontinuierlichen Sicherheitsüberprüfung der ERP Systeme. So lassen sich Risiken und Schwachstellen frühzeitig erkennen, priorisieren und beheben bevor Angreifer diese Ausnutzen können.

 

Wir bieten Ihnen mit unserem Werth Auditor die Möglichkeit Ihr ERP-System auf Herz und Nieren zu prüfen. Jedes potentielles Risiko wird erfasst und bewertet. Eine Prüfung auf Gefahren für Ihr ERP-System durch Gastzugänge, seitens der SAP-Anwender oder über VPN-Kanäle ist mit unserer Lösung aus jedem Winkel Ihres Netzwerks möglich.  Kontaktieren Sie uns für eine kostenlose Testversion.

 

Weitere Referenzen:

http://www.theepochtimes.com/n3/797218-china-spies-on-global-shipping-using-pre-infected-hardware/

http://www.infosecurity-magazine.com/view/39257/malware-siphons-the-brains-of-shipping-companies-in-sophisticated-supply-chain-attack/

http://www.forbes.com/sites/kurtmarko/2014/07/10/trojan-hardware-spreads-apts/

http://www.pcworld.com/article/2453100/malware-hidden-in-chinese-inventory-scanners-targeted-logistics-shipping-firms.html

http://www.csoonline.com/article/2452986/data-protection/shipping-companies-computers-compromised-by-malware-infected-chinese-scanners.html