Überblick

Worum geht es?

• WatchGuard hat am 23.02.2022 um 16:00 Uhr publik gemacht, dass es Angreifern möglich bzw. möglich gewesen ist, sich unberechtigt auf eine WatchGuard Firebox aufzuschalten und dort eine Fremdsoftware zu installieren.
• Dieser Angriff ist bereits unter dem Namen Cyclops Blink Infection bekannt. Hinter dem Angriff steht eine vermutlich von Russland geförderte Gruppe von Cyberkriminellen.
• Die eng mit offiziellen Stellen wie dem amerikanischen FBI, der CISA, dem DOJ und dem britischen NCSC1 durchgeführten forensischen Untersuchungen konnten nicht aufzeigen, dass die eventuell installierte Fremdsoftware in die zu schützenden Kunden-Netzwerke eingedrungen ist oder dass Daten mitgelesen oder ausgeleitet worden sind.
• Auch das eigene Netzwerk und die Kundendaten von WatchGuard wurden nicht verletzt oder beeinträchtigt.
• Die infiltrierten Systeme sollten vielmehr in der Zukunft als Teil eines globalen Botnet missbraucht werden.

Welche Systeme können betroffen sein?

• Basierend auf aktuellen Schätzungen könnte Cyclops Blink etwa 1% der aktiven WatchGuard-Firewall-Appliances unabhängig von Modell und Versionsstand beeinträchtigt haben; andere WatchGuard-Produkte sind nicht betroffen.
• Die Schwachstelle konnte nur dann von den Angreifern ausgenutzt werden, wenn die für Admin-Zwecke verwendeten Ports 8080/tcp, 4118/tcp, 4105/tcp und 4117/tcp direkt aus dem Internet (=”Any-External”) erreichbar waren.
• Dies entspricht aber nicht dem Best Practice und den von WatchGuard publizierten Installationshinweisen. Im Auslieferungszustand ab Werk (“Setup Wizard”) sind diese Admin-Ports nur von lokalen Netzwerken (“Any-Trusted” oder “Any-Optional”) nutzbar.
• Wenn diese Ports aus dem Internet nicht geöffnet waren, ist die WatchGuard Firebox Appliance auch nicht in Gefahr gewesen!
• Beachten Sie in diesem Zusammenhang bitte auch unseren Blogartikel HOWTO: Best Practices für Firebox Remote Management

Was ist zu tun?

• WatchGuard hat einen 4-Schritte-Diagnose-und-Behebungsplan gegen Cyclops Blink Infektion veröffentlicht.
• WatchGuard bittet dringend darum, dass die Diagnose auf ALLEN im Markt befindlichen Firebox-Systemen durchgeführt wird.
• Abhilfemaßnahmen sind nur erforderlich, wenn Sie eine infizierte Appliance haben.
• Trotzdem sollten alle Kunden, ob infiziert oder nicht, ihre Appliance(s) auf die neueste Version von Fireware OS aktualisieren.
  Bitte führen Sie aber UNBEDINGT die DIAGNOSE durch, BEVOR Sie auf die neueste Fireware-Version aktualisieren.
  Alleine durch das Aufspielen der neuen Softwareversion wird eine mögliche Infektion nicht behoben!
• Obwohl normalerweise Software-Updates nur dann möglich sind, wenn die WatchGuard Firebox über eine gültige Lizenz verfügt, ermöglicht es WatchGuard in diesem besonderen Fall, dass auch Appliances mit abgelaufener Lizenz einmalig auf die neueste Fireware-Version (siehe weiter unten) aktualisiert werden können. Das gilt auch für ältere Modelle zurück bis XTM 25, 26, 33, 330, 515, 525, 535, 545, die mittlerweile bereits END-OF-LIFE sind. Für noch ältere Modelle wie XTM 21, 22, 23, 505, 510, 520, 530 (die schon seit 2017 END-OF-LIFE sind!) wird jedoch kein Bugfix zur Verfügung gestellt.

Weiterlesen »