Ein vertrauenswürdiges Tool wird zum Angriffsvektor

Ein Supply-Chain-Angriff, der mit einem Einbruch beim Sicherheitsunternehmen Checkmarx begann, hat sich ausgeweitet. Forscher bestätigten am 27. April, dass auch das Command Line Interface (CLI) von Bitwarden kompromittiert wurde. Der Angriff wird einer Gruppe namens TeamPCP zugeschrieben und hat mehr als 10 Millionen Nutzer und 50.000 Unternehmen dem Risiko von Credential-Diebstahl und der Offenlegung sensibler Daten ausgesetzt.

Was diesen Vorfall besonders beunruhigend macht, ist nicht nur das Ausmaß. Es ist das Ziel. Bitwarden ist ein weithin vertrauenswürdiger Passwort-Manager, der sowohl von datenschutzbewussten Einzelpersonen als auch von Sicherheitsfachleuten genutzt wird. Die CLI-Version ist besonders bei Entwicklern beliebt, die Passwortverwaltung in automatisierte Workflows und Skripte integrieren. Die Kompromittierung dieses Tools bedeutet, dass Angreifer möglicherweise Zugang zu Zugangsdaten hatten, die durch einige der sensibelsten Bereiche der Infrastruktur eines Unternehmens fließen.

TeamPCP hat Berichten zufolge gedroht, die gestohlenen Daten für nachfolgende Ransomware-Kampagnen zu nutzen, was bedeutet, dass dieser Vorfall noch lange nicht abgeschlossen sein dürfte.

Wie Supply-Chain-Angriffe funktionieren

Ein Supply-Chain-Angriff zielt nicht direkt auf Sie ab. Stattdessen zielt er auf die Software oder Dienste ab, denen Sie vertrauen und die Sie täglich nutzen. In diesem Fall drangen die Angreifer zunächst in Checkmarx ein, ein bekanntes Unternehmen für Anwendungssicherheit. Von dort aus konnten sie ihre Reichweite auf das CLI-Tool von Bitwarden ausweiten.

Dieser Ansatz ist verheerend effektiv, weil er Vertrauen ausnutzt. Wenn Sie ein Tool von einem Anbieter installieren, auf den Sie sich verlassen, vertrauen Sie implizit jedem Teil der eigenen Entwicklungs- und Vertriebspipeline dieses Anbieters. Wenn auch nur ein Glied in dieser Kette kompromittiert wird, kann der Schadcode oder der Zugang direkt zu Ihnen gelangen, ohne offensichtliche Warnsignale.

Entwickler sind in diesen Szenarien ein besonders wertvolles Ziel. Sie verfügen in der Regel über erhöhte Systemrechte, Zugang zu Quellcode-Repositories, Cloud-Infrastruktur-Zugangsdaten und API-Schlüssel. Die Kompromittierung eines Tools, das im täglichen Workflow eines Entwicklers eingesetzt wird, kann Angreifern breiten Zugang über eine gesamte Organisation verschaffen.

Was das für Sie bedeutet

Wenn Sie das CLI-Tool von Bitwarden verwenden, insbesondere in automatisierten oder skriptgesteuerten Umgebungen, sollten Sie alle Zugangsdaten, die darüber liefen, als potenziell kompromittiert betrachten. Das bedeutet: Passwörter rotieren, API-Schlüssel widerrufen und Zugriffsprotokolle auf ungewöhnliche Aktivitäten prüfen.

Dieser Vorfall vermittelt jedoch auch eine breitere Lektion darüber, wie die meisten Menschen ihre Sicherheitslage einschätzen. Viele Nutzer und sogar Unternehmen verlassen sich auf eine kleine Anzahl von Tools als Anker für ihre Privatsphäre und Sicherheit: ein VPN für Netzwerkprivatsphäre, ein Passwort-Manager für die Sicherheit von Zugangsdaten und vielleicht Zwei-Faktor-Authentifizierung für wichtige Konten. Dieser Angriff zeigt, dass selbst diese Anker-Tools untergraben werden können.

Ein VPN beispielsweise schützt Ihren Netzwerkverkehr vor dem Abfangen. Es kann Sie nicht schützen, wenn der Passwort-Manager, den Sie zur Speicherung Ihrer VPN-Zugangsdaten verwenden, selbst kompromittiert wurde. Genau deshalb sprechen Sicherheitsfachleute von Defense-in-Depth: dem Schichten mehrerer, unabhängiger Kontrollen, sodass der Ausfall einer einzigen nicht zur vollständigen Offenlegung führt.

Einige praktische Schritte zur Stärkung Ihrer allgemeinen Sicherheitslage angesichts dieses Vorfalls:

  • Zugangsdaten sofort rotieren, wenn Sie das CLI von Bitwarden in automatisierten Workflows oder Skripten verwendet haben
  • Hardware-Sicherheitsschlüssel oder App-basierte Zwei-Faktor-Authentifizierung für Ihr Passwort-Manager-Konto aktivieren, nicht nur SMS-basierte Codes
  • Prüfen, welche Tools in Ihrem Workflow privilegierten Zugang zu Zugangsdaten oder Infrastruktur haben, und überprüfen, ob diese Tools noch notwendig sind
  • Sicherheitshinweise der Anbieter überwachen, von denen Sie abhängig sind, und Einbrüche bei Sicherheitsunternehmen als Signal behandeln, die eigene Exposition zu überprüfen
  • Sensible Zugangsdaten segmentieren, damit eine Kompromittierung in einem Bereich Angreifern nicht den Schlüssel zu allem anderen überlässt

Defense-in-Depth ist keine Option

Der Supply-Chain-Angriff auf das Bitwarden CLI ist eine Erinnerung daran, dass kein einzelnes Tool, egal wie renommiert, als bedingungslose Sicherheitsgarantie betrachtet werden kann. Checkmarx ist ein Sicherheitsunternehmen. Bitwarden ist ein Sicherheitstool. Beide waren Teil einer Kette, die Angreifer erfolgreich ausgenutzt haben.

Das bedeutet nicht, dass Sie Passwort-Manager aufgeben oder aufhören sollten, Entwickler-Sicherheitstools zu verwenden. Es bedeutet, dass Sie Ihre Sicherheitsstrategie mit der Annahme aufbauen sollten, dass jede einzelne Komponente eines Tages versagen könnte. Verwenden Sie starke, einzigartige Zugangsdaten für alle Konten. Schichten Sie Ihre Authentifizierungsmethoden. Bleiben Sie informiert, wenn Anbieter in Ihrem Stack Vorfälle melden.

Das Ziel ist nicht, perfekte Sicherheit zu erreichen, was nicht möglich ist. Das Ziel ist sicherzustellen, dass wenn eine Schicht versagt, die nächste bereits vorhanden ist. Überprüfen Sie Ihr aktuelles Setup noch heute, insbesondere automatisierte Workflows, die Zugangsdaten verarbeiten, und fragen Sie sich, worauf ein Angreifer zugreifen könnte, wenn nur eines Ihrer vertrauenswürdigen Tools gegen Sie eingesetzt würde.