Cyber-Angriffe: Stadt Brandenburg und Gemeinde Stahnsdorf offline

[Englisch]Sowohl die Stadt Brandenburg an der Havel als auch die Gemeinde Stahnsdorf im Landkreis Potsdam-Mittelmark haben nach einem mutmaßlichen Cyber-Angriff ihre IT-Systeme abgeschaltet und arbeiten im Notbetrieb. Auch hier waren Citrix ADC/Netscaler-Gateways die Ursache, um erfolgreiche Angriffe zu möglichen.

Momentan rappelt es gehörig in der IT-Landschaft deutscher Behörden, Universitäten und Firmen (siehe Linkliste am Artikelende). Vor Weihnachten traf es Unis wie Gießen oder Freiburg, und die Tage waren Unternehmen wie Gedia sowie die Stadt Potsdam. Nun sind also weitere Verwaltungen betroffen.

Stadt Brandenburg ist offline

Blog-Leser Ralf hat bereits per Kommentar darauf hingewiesen, dass die Stadt Brandenburg an der Havel ihre IT-Systeme wegen eines vermuteten Cyber-Angriffs heruntergefahren habe.

Wie die @LH_Potsdam hat auch die Stadt #Brandenburg einen Hacker-Angriff über #Citrix festgestellt & daher betroffene Citrix-Anwendungen offline genommen. Der Großteil der Verwaltungsarbeit ist nicht betroffen, der E-Mail-Verkehr funktioniert weiterhin. https://t.co/ACV6y9T4to pic.twitter.com/BJA922OBAB

— Stadt Brandenburg an der Havel (@Stadt_BRB) January 24, 2020

In obigem Tweet weist die Pressestelle der Stadt Brandenburg darauf hin, dass man die IT-Systeme nach einem Hacker-Angriff offline genommen habe. Das Team der IT der Stadtverwaltung hat auf dem Citrix-Gateway Einträge festgestellt, die auf Crypto-Miner (Schadprogramme zum sogenannten Schürfen von Kryptowährungen im Internet) verweisen.

Die Verwaltungsarbeit sei nicht betroffen, und E-Mails können empfangen werden. Betroffen sind die Schulsekretariate, der Stadtforst, die Ortsteilverwaltung Kirchmöser sowie das ortsansässige Jobcenter. In diesen Bereichen wurde die Systemsoftware vorübergehend vom Netz genommen.

Auch Stahnsdorf offline

Dieses Medium vermeldet, dass auch die Gemeindeverwaltung Stahnsdorf (Landkreis Potsdam-Mittelmark) am gestrigen Donnerstag präventiv vom Netz gegangen sei. Aus Sicherheitsgründen (die verwenden ebenfalls Citrix) habe die IT der Gemeideverwaltung die Verbindung zum Landesverwaltungsnetz (LVN) abgeschaltet. Dadurch ist die Kommunikation mit anderen Behörden stark eingeschränkt oder gar nicht möglich.

Citrix ADC/NetScaler als Einfallstor

Meine Unkenrufe sind wahr geworden. Im Beitrag Cyberangriffe: Gedia & Potsdam Opfer des Shitrix-Desasters (Citrix Netscaler-Bug)? hatte ich geendet, dass das nicht das Ende der Fahnenstange sei und wir weitere Fälle erleben würden. In der Pressemitteilung der Stadt Brandenburg heißt es:

In der von zahlreichen Behörden benutzten Systemsoftware Citrix ist eine kritische Systemschwachstelle zu Tage getreten (CVE-2019-19781). Ebenso wie beim Angriff auf das Potsdamer Rathaus wurde auch in der Brandenburger Stadtverwaltung ein Citrix-Gateway zur Abwicklung des äußeren Systemzugangs für Mitarbeiter der Stadtverwaltung auf das interne Mitarbeiterportal kompromittiert, konkret betrifft das Schulsekretariate, den Stadtforst, die Ortsteilverwaltung Kirchmöser sowie ARGE/Jobcenter und HomeOffice-Zugänge.

Also haben die Administratoren ihre Shitrix-Schwachstelle, die ich hier im Blog ja breit besprochen hatte, nicht per Workaround abgedichtet. Schon hat die Falle zugeschlagen. Zur Citrix-Schwachstelle könnt ihr den nachfolgenden Beiträgen Einzelheiten entnehmen.

Ähnliche Artikel:
Schwachstelle in Citrix Produkten gefährdet Firmen-Netzwerke
Exploit für Citrix ADC/Netscaler-Schwachstelle CVE-2019-19781
Ransomware-Befall beim Automobilzulieferer Gedia
Potsdam offline–Ungereimtheiten erzwingen Server-Shutdown
Cyberangriffe: Gedia & Potsdam Opfer des Shitrix-Desasters (Citrix Netscaler-Bug)?
Ransomware beim Webmaschinenhersteller Picanol
Ransomware-Befall bei Canyon Bicycles GmbH/Koblenz
Stadt Alsfeld Opfer von Cyber-Kriminellen?
Trojanerbefall in Stadt Bad Homburg und Hochschule Freiburg
Stadt Frankfurt/Main Opfer eines Cyber-Angriffs (19.12.2019)
Neues zum Virenbefall der Uni Gießen
Klinikum Fürth im Betrieb zurück, Uni Gießen nutzt Desinfec’t
Ransomware legt Uni Maastricht lahm
Albany Airport (NY) Opfer eines Ransomware-Befalls
Ryuk-Ransomware wütet: Prosegur, TECNOL, Texas-Klinik …
Spanien: Ransomware-Befall bei Everis und Cadena SER
Ransomware-Befall bei globaler Spedition Pitney Bowes