Die Ransomware-Gruppe n0n hat Firewall-Konfigurationen sowie Passwort- und Schlüsselinformationen veröffentlicht, die mit dem Zahlungsdienstleister Finzly in Verbindung stehen. Die Dateien beschreiben Verbindungen zur US-Notenbank Federal Reserve sowie Regeln für den Datenverkehr von FedNow und FedACH. Die Fed meldete keine Auswirkungen auf ihre Zahlungsdienste. Finzly änderte Systemschlüssel und Zugangsdaten; bislang gebe es keine Hinweise auf kompromittierte Bankkundendaten oder Informationen für den Zugriff auf Kundensysteme.
Betroffen sind Finzlys Anbindungen von Banken an Zahlungsnetzwerke. Ob sich die veröffentlichten Dateien noch für einen Systemzugriff nutzen lassen, ist unklar. Auch nach einem Austausch der Zugangsdaten können die Konfigurationen jedoch Verbindungen offenlegen, die Banken und ihre Dienstleister überprüfen müssen.
Dateien zeigen Verbindungen zu Fed-Diensten
Finzlys Plattform BankOS verbindet Banken mit Zahlungsnetzwerken wie ACH, Fedwire und FedNow. Kunden nutzen diese Dienste über eine gemeinsame Verbindung. Auf der Unternehmenswebsite waren in der vergangenen Woche elf Banken und Kreditgenossenschaften als Kunden aufgeführt.
Eine Sprecherin von Finzly erklärte, das Unternehmen habe „Systemschlüssel und Zugangsdaten ausgetauscht“. Die Konfigurationsdateien allein ermöglichten keinen Zugriff auf Finzly-Systeme oder -Daten. Die interne Untersuchung habe keine Hinweise darauf ergeben, dass Bankkundendaten oder Zugangsinformationen zu Kundensystemen kompromittiert wurden. Auch der Betrieb der Kunden sei nicht beeinträchtigt. Finzly habe die Strafverfolgungsbehörden informiert, externe Rechts- und Forensikexperten hinzugezogen und begonnen, Kunden zu kontaktieren. Zudem arbeite das Unternehmen mit Aufsichtsbehörden und Kunden zusammen.
Ein Sprecher der Federal Reserve teilte mit, dass die Zahlungsdienste der Notenbank nicht betroffen seien. Die veröffentlichten Dateien schienen weder Kunden- noch Bankdaten oder Transaktionsaufzeichnungen zu enthalten. Ob darin Passwörter oder Schlüssel stehen, die noch gültig sind, wurde nicht geprüft. Kommentare in der Konfiguration bezeichnen sie als „2023 config“ und deuten damit auf eine mögliche Entstehung im Jahr 2023 hin.
In der vergangenen Woche hatte n0n damit gedroht, Netzwerkkonfigurationen und Zugangsschlüssel für Zahlungsinfrastruktur offenzulegen. Die Gruppe verlängerte ihre Frist zunächst von Freitag bis Dienstagabend. Nach deren Ablauf veröffentlichte sie die Dateien. Das Vorgehen lässt darauf schließen, dass Finzly möglicherweise kein Lösegeld gezahlt hat; die geforderte Summe nannte n0n nicht. Das Unternehmen für Bedrohungsanalysen Cyfirma dokumentierte Lösegeldforderungen von n0n gegen südkoreanische Firmen in einer Höhe von 600.000 bis 14 Millionen US-Dollar, zahlbar in Bitcoin.
Zugriff auf Gerät im Backup-Rechenzentrum ungeklärt
Finzly zufolge verschaffte sich ein Unbefugter Zugriff auf ein Gerät in einem Backup-Rechenzentrum, auf dem Konfigurationsinformationen gespeichert waren. Das Unternehmen hat nicht mitgeteilt, ob es sich dabei um die betreffende Firewall handelte, wann der Zugriff erfolgte oder auf welchem Weg der Angreifer eindrang.
Von den sechs durch n0n veröffentlichten Dateien scheinen fünf eine Konfiguration für eine Fortinet-FortiGate-Firewall zu bilden. Die sechste ist eine Zusammenfassung, in der das Gerät als „payment gateway“ bezeichnet wird. Die Dateien führen eine direkte Verbindung mit dem Namen „FED“ sowie Firewallregeln für als FedNow und FedACH gekennzeichneten Datenverkehr auf. Laut Zusammenfassung wurden Passwörter und Schlüssel in der Konfiguration am 15. Oktober entschlüsselt.
Firewalls speichern Passwörter und Schlüssel üblicherweise verschlüsselt. Fortinet räumte 2019 ein, dass frühere Versionen seiner Firewall-Software für die Verschlüsselung von Passwörtern in Konfigurationsdateien auf allen Geräten denselben fest eingebauten Schlüssel verwendeten. Michael Tigges, leitender Analyst für taktische Reaktionen beim Cybersicherheitsunternehmen Huntress, sagte, es sei „durchaus möglich“, dass ein Angreifer Schlüssel durch Entschlüsselung einer Konfigurationsdatei erlangt habe. Öffentlich bekannte Belege dafür, wie n0n dabei vorging, gibt es nicht.
Netzwerkpläne können auch nach Schlüsselwechsel nützlich sein
Ein Austausch von Passwörtern und Schlüsseln verändert Zugangsdaten, nicht automatisch die in einer Konfiguration beschriebenen Netzwerkverbindungen. Rafe Pilling, Senior Director für Bedrohungsforschung beim Cybersicherheitsunternehmen Sophos, erklärte, eine veraltete Firewall-Konfiguration könne weiterhin zeigen, welchen Verbindungen vertraut wird. Die veröffentlichten Dateien skizzieren Verbindungen zwischen Finzlys Cloud-Systemen und der Federal Reserve und könnten einem Angreifer Einblick in die Kommunikation dieser Systeme geben.
Auch Waseem Ahmed, Engineering-Leiter beim Sicherheitsunternehmen Secure.com, wies darauf hin, dass Netzpläne, IP-Adressen, Tunnel-Endpunkte und Vertrauensbeziehungen häufig langsamer geändert werden als Passwörter. Selbst wenn alte Zugangsdaten nicht mehr funktionieren, kann eine geleakte Netzwerkübersicht einem Angreifer helfen, ein Ziel schneller zu verstehen.
Tigges zufolge könnte eine offengelegte Firewall-Konfiguration im schlimmsten Fall dazu beitragen, ein Netzwerk weiter zu kontrollieren oder das Risiko von Diebstahl bei Kontonummern und Finanztransaktionen beziehungsweise eines Ransomware-Angriffs zu erhöhen. Die verfügbaren Informationen zeigen nicht, ob n0n versucht hat, mit den Schlüsseln auf Systeme zuzugreifen. Ebenfalls ungeklärt ist, ob Finzly ungewöhnliche Aktivitäten vor dem Erpressungsversuch bemerkte oder erst danach davon erfuhr. Das Unternehmen hat zudem nicht angegeben, ob die Schlüssel vor oder nach dem Abruf beziehungsweise der Veröffentlichung der Dateien geändert wurden.
Banken sollen Zugänge und Protokolle prüfen
Denis Calderone, Chief Technology Officer beim Cybersicherheitsunternehmen Suzu Labs, riet Banken, bei einem solchen Vorfall den Dienstleister bestätigen zu lassen, dass sämtliche in den Dateien aufgeführten Zugangsdaten und Schlüssel ausgetauscht wurden, und dafür Nachweise anzufordern. Banken könnten außerdem fragen, ob der Anbieter die Federal Reserve informiert hat.
Ahmed empfahl Banken, sämtliche Verbindungen zum Dienstleister zu erfassen, von ihnen selbst verwaltete Zugangsdaten zu ersetzen und neue VPN-Schlüssel mit dem Anbieter abzustimmen, statt darauf zu warten, dass dieser jeden Punkt einzeln anspricht. Calderone riet zudem, Protokolle auf ungewöhnliche Verbindungen zu prüfen und die Untersuchung auf die Monate vor dem Datenleck auszuweiten, nicht nur auf den Zeitraum nach der Veröffentlichung.
Nach bisherigem Kenntnisstand enthielten die veröffentlichten Dateien keine Bankkundendaten oder Transaktionsaufzeichnungen; die Zahlungsdienste der Federal Reserve waren nicht beeinträchtigt. Offen bleiben der Zeitpunkt und der genaue Weg des Zugriffs auf das Gerät im Backup-Rechenzentrum, der Zeitpunkt des Schlüsselwechsels sowie die Frage, ob Verbindungen zwischen Banken und Finzly zusätzlich angepasst werden müssen.