Cyberkriminelle nutzen offene RDP-Ports für den ersten Zugriff in Firmennetzwerke

Wenn Fachkräfte von falsch positiven Alarmen

Wenn Fachkräfte von falsch positiven Alarmen überflutet werden, geraten kritische Warnungen zu exponierten Ports unter die Teppiche. Wie Chris Henderson, CISO bei Huntress, feststellte, scheitern Menschen nicht aufgrund von Fahrlässigkeit, sondern weil Systeme nicht so konzipiert sind, dass sie solche Fehler erfassen. Angreifer missbrauchen offene RDP-Ports.

Sobald ein offener Port entdeckt ist, können Intrusionen rasch voranschreiten. In einem dokumentierten Fall hatte eine Gesundheitsorganisation einen RDP-Server direkt dem Internet ausgesetzt. Der Angreifer benötigte kein spezielles Exploit-Tool; der offene Port reichte aus, und der Vorfall begann sofort.

Ein SIEM erkannte die Intrusion zum Zeitpunkt des ersten Zugriffs, und das SOC vertrieb den Angreifer, doch eine einzige Firewall-Regel hätte den gesamten Vorfall verhindern können.

Einordnung fuer Autofahrer

In einem zweiten Fall drangen Angreifer über ein exponiertes Remote Desktop Web Access Portal ein, installierten einen benutzerdefinierten Reverse-Tunnel und automatisierte Skripte zur Credential-Harvesting. Das SOC schloss sie aus, doch die Angreifer kehrten am nächsten Morgen über dasselbe Portal mit einem anderen Konto zurück.

Der Zugriff war nicht geschlossen, sodass nichts daran hinderte, dass sie zurückkehrten. Ein dritter Fall zeigt, dass Angreifer nicht immer mit RDP beginnen.

Nach einem Eindringen in ein Netzwerk über ein verwundbares VPN modifizierten die Angreifer Registrierungsschlüssel und Firewall-Regeln, um RDP zu aktivieren, und nutzten es anschließend, um sich lateral zu bewegen.

Einordnung fuer Autofahrer

Das verwaltete EDR-System erfasste die Aktivitäten, bevor dauerhafte Schäden entstanden, und bewies damit, dass RDP als Hintertür in einem bereits kompromittierten Netzwerk eingerichtet werden kann. Was Organisationen jetzt tun müssen Die Lösungen sind einfach, erfordern aber, dass jemand handelt.

Wenn RDP keinen direkten Zugriff auf das offene Internet benötigt, sollte es nun hinter einer Firewall platziert werden. Ein Tool wie Shodan oder eine grundlegende externe Scan-Operation Ihres IP-Bereichs kann bestätigen, ob Port 3389 exponiert ist. Diese eine Überprüfung könnte einen schwerwiegenden Vorfall verhindern.

Wenn Angreifer über irgendeine Exposition Einlass erhalten, schließen Sie die Lücke und drehen Sie alle damit verbundenen Zugangsdaten um, bevor sie zurückkehren.

Technischer Hintergrund

Die Einbindung von Firewall- und VPN-Logs in ein SIEM-System zusammen mit Endpunktdaten bietet Teams die umfassende Sichtbarkeit, die erforderlich ist, um verdächtiges Verhalten frühzeitig zu erkennen, bevor eine übersehene Fehlkonfiguration zu einer Katastrophe wird. Tushar ist ein Senior-Reporter für Cybersicherheit und Datenschutzverletzungen.

Er spezialisiert sich auf die Berichterstattung über Nachrichten, Trends und aufkommende Bedrohungen im Bereich der Cybersicherheit sowie über Datenlecks und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Neuer 0-Click-Angriff auf WhatsApp-Konten, der iOS-16-Nutzer zielt.

GitLab suspendiert den Windows-Exploit-Forscher Nightmare-Eclipse nach dem Verbot durch GitHub. Anthropic stellt einen kostenlosen Sicherheits-Plugin für den Claude-Code-Terminal zur Verfügung, um Schwachstellen zu erkennen.