Das sollten Sie unbedingt wissen, wenn Sie OMI auf Microsoft Azure nutzen

Wenn Sie noch nie etwas von OMI gehört haben, sind Sie damit nicht alleine! Es handelt sich dabei um ein Open-Source-Projekt von Microsoft, das nicht allzu bekannt ist. Allerdings (und das ist wirklich beunruhigend) ist es eines der am häufigsten installierten Programme auf den virtuellen Maschinen der Azure Cloud.

Problematisch ist, dass OMI nicht automatisch aktualisiert wird (wie eigentlich zu erwarten wäre). Das bedeutet, dass die für diese Server verantwortlichen Systemadministratoren unwissentlich eine veraltete OMI-Version im Umlauf lassen könnten. Heute (am 17. September 2021) hat Microsoft begonnen, betroffene Azure-Dienste zu aktualisieren. Allerdings sind Tausende von Servern weiterhin durch die Sicherheitslücke gefährdet.

Wie lange ist diese RCE durch OMI „in freier Wildbahn“ wohl schon ausgenutzt worden?

Wir wissen es nicht genau, doch unsere Recherchespezialisten stellen fest, dass Mirai-Malware-Varianten diese Sicherheitslücken auf den betroffenen Azure-Servern aktiv auszunutzen. Hier ein gutes Beispiel: Das bedeutet, dass Mirai-Varianten, wie so viele andere Dinge, in die Cloud migrieren. Unser eXBL-Datensatz (eXploits Blocklist) beinhaltet Mirai-Sichtungen, das heißt, dass unsere Fachleute Sie auf dem Laufenden halten werden, sollte sich die Situation dramatisch verändern.

Das können Sie tun, wenn Sie OMI installiert haben

Wenn Sie Microsoft Azure nutzen: KEINE PANIK! Holen Sie sich einen Kaffee, lesen Sie weiter und legen Sie sich einen Schlachtplan zurecht.

Alle OMI-Versionen vor v1.6.8-1 sind gefährdet. Wir empfehlen Ihnen dringend, Ihre OMI-Version zu prüfen. Ist sie betroffen, sollte Ihr Sicherheitsteam diese Dokumentation von Microsoft so schnell wie möglich lesen und umsetzen.

Bedenken Sie, dass Ihre Server vielleicht schon angegriffen wurden! Wenn OMI auf Ihren Servern läuft, sollten Sie diese als unsicher betrachten und die von Ihrem IT-Team empfohlenen Abhilfemaßnahmen ausführen.

Und wenn Ihre Server schon beeinträchtigt worden sind?

Wenn Ihre Rechner befallen oder schon Teil eines Botnets sind, oder aber anderes unerwünschtes Verhalten aufweisen, sollten Sie vielleicht über die Spamhaus Intelligence API (SIA) nachdenken. Mit dieser API können Sie sofort feststellen, wann es Probleme mit einer (oder mehreren) Ihrer IPs gibt, d. h. ob sie auf unserer eXploits Blocklist oder CSS Blocklist geführt werden. Die SIA liefert aufbereitete Daten zu IPs, bei denen unser Rechercheteam Anzeichen für eine Beeinträchtigung oder das Versenden von Spam beobachtet hat.

Sie haben einen Ruf zu verlieren

Im Zusammenhang mit IT denkt man dabei sofort an Horrorgeschichten über Ransomware, wie beispielsweise die jüngst in den Medien gemeldeten groß angelegten Angriffe. Dabei sollten Sie nicht vergessen, wie wichtig die Reputation Ihres IP-Raums ist.

Wenn der von Ihnen genutzte IP-Raum als „Schlangengrube“ gilt, ist der Ärger vorprogrammiert (auch wenn Sie eigentlich keine Schuld trifft), nicht zuletzt Probleme beim Versand legitimer E-Mails.

Mithilfe der über die SIA bereitgestellten Daten können Sie sich sowohl aktuelle als auch historische IP-Listungen ansehen. So sind Sie gewappnet und wissen, wie stark Ihr Netzwerk aktuell beeinträchtigt ist und wie die Entwicklung bisher verlaufen ist. Damit bekommen Sie ein gutes Gefühl dafür, wie gut oder schlecht Ihre IP-Reputation ist.

Probieren geht über studieren

Wenn Sie gerne mit den SIA-Daten experimentieren und herausfinden möchten, wie Sie diese sinnvoll nutzen können, registrieren Sie sich für eine kostenlose Entwicklerlizenz, die Ihnen eine begrenzte Anzahl kostenloser Abfragen pro Monat ermöglicht.

Kaffeetasse leer?

Dann ist es an der Zeit, Ihren Plan in die Tat umzusetzen. Viel Erfolg! Wir hoffen, dass Sie keine Anzeichen für eine Beeinträchtigung finden.