Die sonst sicheren Barracudas Email Security Gateway Appliances (ESG) haben ein Problem: Mitte Mai 2023 identifizierte Barracuda die Schwachstelle (CVE-2023-28681) auf ihren Appliances die aktiv angegriffen wurde. Das vorhandene Sicherheitsupdate ist aber nicht in der Lage durch Malware geschaffene Hintertüren zu schließen. Daher empfiehlt Barracuda den sofortigen Hardware-Tausch.
Zu Beginn startete alle wie bei vielen aufgefundenen Schwachstellen: Am 18. Mai 2023 wurde Barracuda auf anomalen Datenverkehr aufmerksam gemacht, der von Barracuda Email Security Gateway (ESG)-Appliances ausging. Bereits am nächsten Tag identifizierte Barracuda die Schwachstelle (CVE-2023-28681) die bereits aktiv ausgenutzt wurde. Bereits 2 Tage später spielte Barracuda weltweit einen Sicherheitspatch zur Behebung der Schwachstelle auf allen ESG-Appliances. Trotz weiterer Abwehrskripte und Analysen wurden in der kurzen Zeit viele ESG Appliances durch eine Malware identifiziert, die einen dauerhaften Hintertürzugriff ermöglicht. Zusätzlich wurde bei einer Teilmenge der betroffenen Geräte auch Hinweise auf eine Datenexfiltration festgestellt.
ESG Appliances müssen ausgetauscht werden
Benutzer, deren Geräte nach Meinung von Barracuda betroffen waren, wurden über die ESG-Benutzeroberfläche über die zu ergreifenden Maßnahmen informiert. Barracuda hat sich auch an diese Kunden gewandt. Im Zuge der Untersuchung könnten sogar weitere Kunden identifiziert werden. Daher informiert Barracuda die Kunden der betroffenen ESG-Appliances, dass diese unabhängig vom Patch-Versionsstand sofort ersetzt werden müssen. Der Support unterstützt die Kunden dabei.
Die bisher identifizierte Schadsoftware beschreibt Barracuda bereits detailliert. Um die Nachverfolgung zu erleichtern, wurden der Schadsoftware Codenamen zugewiesen:
- SALTWATER ist ein trojanisiertes Modul für den Barracuda SMTP-Daemon (bsmtpd), das Backdoor-Funktionalität enthält.
- SEASPY ist eine x64-ELF-Persistenz-Hintertür, die sich als legitimer Barracuda Networks-Dienst ausgibt und sich als PCAP-Filter etabliert, der insbesondere den Datenverkehr auf Port 25 (SMTP) und Port 587 überwacht. SEASPY enthält eine Hintertürfunktion, die durch ein „magisches Paket“ aktiviert wird.
- SEASIDE ist ein Lua-basiertes Modul für den Barracuda SMTP-Daemon (bsmtpd), das SMTP HELO/EHLO-Befehle überwacht, um eine Command and Control (C2) IP-Adresse und einen Port zu empfangen, die es als Argumente an eine externe Binärdatei übergibt, die eine Reverse-Shell einrichtet.
Über Barracuda Networks Barracuda ist bestrebt, die Welt zu einem sichereren Ort zu machen und überzeugt davon, dass jedes Unternehmen Zugang zu Cloud-fähigen, unternehmensweiten Sicherheitslösungen haben sollte, die einfach zu erwerben, zu implementieren und zu nutzen sind. Barracuda schützt E-Mails, Netzwerke, Daten und Anwendungen mit innovativen Lösungen, die im Zuge der Customer Journey wachsen und sich anpassen. Mehr als 150.000 Unternehmen weltweit vertrauen Barracuda, damit diese sich auf ein Wachstum ihres Geschäfts konzentrieren können. Für weitere Informationen besuchen Sie www.barracuda.com.