So funktioniert Password Spraying und so schützt man sich

Ablauf eines Password-Spraying-Angriffs

In aller Regel erfolgen diese Password-Spraying-Attacken in drei Schritten:

Beschaffung einer Liste mit Benutzernamen: Die Beschaffung einer Liste mit User-Namen für ein Unternehmen ist oft einfacher, als man denkt. Die meisten Unternehmen haben eine standardisierte Konvention für E-Mails, die auch als Benutzernamen für Konten verwendet werden, wie zum Beispiel [email protected]. Mit einer Software lässt sich dann die Richtigkeit der vermeintlich existierenden User-Namen überprüfen. Alternativ können Benutzernamenlisten auch über das Dark Web erworben werden. Darüber hinaus sind die Benutzernamen und die dazugehörigen E-Mail-Adressen manchmal sogar auf der Website des Unternehmens oder in den Online-Profilen der Benutzer leicht zugänglich.

Passwörter „sprühen“: Aktuelle Listen der am häufigsten verwendeten Passwörter sind sehr einfach zu finden und werden in Fachmedien und sogar bei Wikipedia veröffentlicht. Ambitioniertere Cyberkriminelle achten dabei auf regionale Unterschiede. Dies bezieht sich nicht nur auf die Sprache, sondern kann etwa auch lokale Fußballmannschaften beinhalten. So könnten Ziele in Hamburg beispielsweise „HSV2022“ als Passwort verwenden. Nachdem sie das erste Passwort „gesprüht“ haben, warten die Angreifer mindestens 30 Minuten, bis sie das Nächste versuchen, um eine Blockierung zu vermeiden.

Zugang zu Konten und Systemen erlangen: In vielen Fällen funktioniert eines der gängigen Passwörter tatsächlich bei einem Konto im Unternehmen: Auch wenn 999 Mitarbeitende sichere Passwörter verwenden, reicht eben ein einziger mit einem schwachen Passwort damit dieser Angriff erfolgreich ist. Cyberkriminelle können diesen Zugang dann dazu nutzen, um interne Erkundungen durchzuführen, tiefere Netzwerke ins Visier zu nehmen oder Zugang zu anderen Konten mit erhöhten Berechtigungen zu erhalten.

Anzeichen für Password Spraying

Wie bei jedem Angriff gibt es auch beim Password Spraying einige Anzeichen, die auf eine entsprechende Attacke hinweisen. Diese gilt es zu identifizieren und entsprechende Gegenmaßnahmen einzuleiten. Da Password Spraying zahlreiche Konten in einem Unternehmen auf einmal umfasst, ist eine hohe Anzahl von fehlgeschlagenen Anmeldeversuchen innerhalb einer kurzen Zeitspanne ein Anzeichen für eine entsprechende Attacke.

Auch kann eine hohe Anzahl gesperrter Accounts ein Hinweis sein: Zwar versuchen die Angreifer Sperrungen zu vermeiden, indem sie eine gewisse Zeit bis zum nächsten Anmeldeversuch eines Kontos verstreichen lassen. Ganz ausschließen lassen sich diese jedoch nicht. Schließlich können noch Anmeldungen von unbekannten oder ungültigen Nutzern ein Indikator sein. In aller Regel verfügen Cyberkriminelle nicht über eine vollständig korrekte Liste von Benutzeranmeldeinformationen. Oft raten sie oder haben möglicherweise eine veraltete Aufstellung erworben. Stellt man eine gewisse Anzahl an Zugangsversuchen von ehemaligen Mitarbeitenden oder ungültigen Kontonamen fest, handelt es sich wahrscheinlich um einen Password-Spraying-Angriff.

„Wie bei allen Angriffen gibt es auch vor Passwort-Spraying-Attacken keinen 100-prozentigen Schutz. Man kann aber sehr wohl die Hürden für Angreifer deutlich erhöhen.“

Michael Scheffler, Varonis Systems

Angriffe per Password Spraying verhindern

Erkennt man eines oder mehrere dieser Anzeichen, sollte man umgehend Gegenmaßnahmen einleiten, etwa unternehmensweit die Mitarbeitenden dazu anhalten, ihre Passwörter zu ändern (und dabei sicherere beziehungsweise komplexere zu verwenden). Password Spraying sollte auch als denkbares Szenario in einem Incident-Response-Plan (Vorfallreaktionsplan) aufgenommen werden. Um die Systeme vor Attacken dieser Art zu schützen, sollten zudem folgende drei Punkte umgesetzt werden.

• Aktivieren des Active-Directory-Kennwortschutzes: Viele Systeme, wie zum Beispiel Microsoft Azure, ermöglichen es den Administratoren, die Verwendung gängiger oder leicht zu erratender Kennwörter zu unterbinden (siehe auch Microsoft Azure AD: Erweiterter Schutz vor Password Spraying). Auf diese Weise laufen die meisten Password-Spraying-Angriffe ins Leere. Idealerweise ergänzt man die allgemeinen durch benutzerdefinierte Listen mit gängigen Passwörtern für die jeweilige Branche, das Unternehmen oder die Region. Bei einem Softwareunternehmen würde man beispielsweise Kennwörter wie „SteveJobs123“ verbieten.
• Durchführung von simulierten Angriffen und Penetrationstests: Unabhängig davon, ob man einen solchen Angriff selbst oder mit Hilfe eines Cybersecurity-Partners durchführt, lässt sich mit einem simulierten Passwort-Spraying-Angriff feststellen, wie anfällig die Passwortmaßnahmen des Unternehmens sind. Mit einer Angriffssimulationssoftware kann man beispielsweise eine Liste gängiger Kennwörter auswählen und einen Bericht darüber erstellen, wie viele Benutzer im Unternehmen über diese Kennwörter verfügen. Durch die Simulation von Spraying-Angriffen lassen sich auch verschiedene regions- oder branchenspezifische Kennwörter testen. Auf dieser Grundlage kann man dann entscheiden, welche davon in eine individuelle Verbotsliste aufgenommen werden sollten.
• Einführung eines passwortlosen Benutzerzugangs: Eine der sichersten Präventivmaßnahmen ist die vollständige Abschaffung von Passwörtern im Unternehmen. Dies bedeutet, dass Technologien wie biometrische oder stimmaktivierte Benutzerzugänge implementiert werden, die es Cyberkriminellen extrem schwer machen, sie zu stehlen, zu duplizieren oder sich damit anzumelden – zumindest momentan (denn auch hier machen Angreifer mit Deepfakes und Voice-Cloning bereits Fortschritte). Zumindest sollte man jedoch eine Multifaktor-Authentifizierung (MFA) aktivieren, damit ein Passwort allein nicht ausreicht, um Zugang zum System oder Gerät zu erhalten.

Fazit

Wie bei allen Angriffen gibt es auch vor Passwort-Spraying-Attacken keinen 100-prozentigen Schutz. Man kann aber mit ein paar gezielten Maßnahmen sehr wohl die Hürden für Angreifer deutlich erhöhen. Und man sollte auch immer für den Fall gewappnet sein, dass es Angreifer in die eigenen Systeme schaffen. So können durch die intelligente Analyse des Nutzerverhaltens auffällige Verhaltensweisen identifiziert sowie auf diese Weise Angriffe frühzeitig erkannt und automatisiert gestoppt werden.

Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder.