Zyxel Firewall Directory Traversal: CVE-2024-11667 & Ransomware

Wie CVE-2024-11667 zum Tor für Helldown-Ransomware-Angriffe wurde

Im Schatten der Unternehmensnetzwerke werden vergessene Firewall-Geräte zu Schlüsselwerkzeugen für ausgeklügelte Ransomware-Betreiber. Die kürzliche Ausnutzung von CVE-2024-11667, einer kritischen Directory Traversal-Schwachstelle in Zyxel Firewalls, hat einen verheerenden Weg für die Helldown-Ransomware-Gruppe geöffnet – vertrauenswürdige Sicherheitsgeräte werden zu Mitteln der Netzwerkkontrolle.

Die Anatomie von CVE-2024-11667: Wenn Sicherheit zur Schwachstelle wird

CVE-2024-11667 ist eine Directory Traversal-Schwachstelle, die die Web-Management-Oberfläche der Zyxel ZLD-Firmware-Versionen 5.00 bis 5.38 betrifft. Dieser schwerwiegende Fehler, mit einem CVSS-Score von 7.5, zeigt einen grundlegenden Zusammenbruch bei der Pfadvalidierung – Angreifer können URLs manipulieren, um außerhalb der vorgesehenen Verzeichnisse auf Dateien zuzugreifen oder diese hochzuladen.

Verständnis von Directory Traversal-Angriffen

Directory Traversal-Schwachstellen nutzen unzureichende Eingabevalidierung bei der Handhabung von Dateipfaden aus. Angreifer erstellen bösartige URLs mit speziellen Zeichenfolgen wie “../” (dot-dot-slash), um außerhalb eingeschränkter Verzeichnisse zu navigieren. Bei Zyxel Firewalls bedeutet dies, dass Angreifer:

Zugriff auf sensible Konfigurationsdateien mit Netzwerk-Anmeldeinformationen erhalten
Bösartige Payloads hochladen direkt auf das Firewall-System
VPN-Konfigurationsdaten inklusive Pre-Shared Keys extrahieren
Active Directory-Anmeldeinformationen stehlen
Sicherheitsrichtlinien ändern, um dauerhafte Hintertüren zu schaffen

Der Exploit erfordert in vielen Fällen keine Authentifizierung, was ihn besonders gefährlich für öffentlich zugängliche Management-Schnittstellen macht.

Betroffene Geräte und Versionen

Betroffen sind Zyxel ATP-Serie Firmware-Versionen V5.00 bis V5.38, USG FLEX-Serie Firmware-Versionen V5.00 bis V5.38, USG FLEX 50(W)-Serie Firmware-Versionen V5.10 bis V5.38 sowie USG20(W)-VPN-Serie Firmware-Versionen V5.10 bis V5.38. Diese Sicherheitsgeräte werden weltweit in Tausenden von Organisationen eingesetzt, von kleinen Unternehmen bis zu großen Konzernen.

Meet Helldown: Der Ransomware, der vergessene Firewalls ausnutzt

Helldown-Ransomware wurde erstmals im August 2024 dokumentiert und hat schnell 31 Opfer auf seinem Daten-Erpressungsportal gelistet, hauptsächlich kleine und mittlere Firmen in den USA und Europa. Im Gegensatz zu etablierten Ransomware-Operationen zeichnet sich Helldown durch seine aggressive Nutzung von Edge-Geräten aus.

Der Helldown-Angriffskettenprozess

Der typische Helldown-Angriff folgt einem methodischen Muster:

Erster Zugriff: Ausnutzung von CVE-2024-11667 durch gezielt gestaltete URLs, die die Web-Management-Oberfläche der Firewall angreifen
Credential Harvesting: Herunterladen von Konfigurationsdateien zur Extraktion von Anmeldeinformationen
Backdoor-Erstellung: Anlegen verdächtiger Benutzerkonten wie ‘SUPPOR87’, ‘SUPPOR817’ oder ‘VPN’ mit Administratorrechten
VPN-Tunnel-Einrichtung: Nutzung gestohlener Anmeldeinformationen für SSL VPN-Verbindungen mit dauerhafter Zugriffsmöglichkeit
Lateral Movement: Pivot in das interne Netzwerk mit kompromittierten Domänenanmeldeinformationen
Datenexfiltration: Stehlen großer Datenmengen bis zu 431GB, im Gegensatz zu anderen Gruppen, die gezielter Daten stehlen
Ransomware-Bereitstellung: Verschlüsselung kritischer Dateien auf Windows- und Linux-Systemen, inklusive VMware-VMs

Technische Raffinesse vs. Operative Wirkung

Sicherheitsforscher bemerken, dass Helldown’s Ransomware-Encryptoren nicht besonders fortgeschritten sind – sie verwenden Batch-Dateien, um Prozesse zu beenden, anstatt diese Funktionalität direkt in die Malware zu integrieren. Die Bedrohung entsteht durch den Zugang zu bisher unbekannten Schwachstellen, was sie außergewöhnlich gefährlich macht. Die Raffinesse des Angreifers liegt im Zugriff auf Exploit-Code für nicht dokumentierte oder nicht öffentliche Schwachstellen.

Das Patch-Paradoxon: Warum Updates nicht ausreichten

Zyxel veröffentlichte am 3. September 2024 Firmware-Version 5.39, die CVE-2024-11667 behebt und eine Reihe von Sicherheitsverbesserungen enthält. Dennoch stellten viele Organisationen fest, dass das Anwenden von Patches allein keinen ausreichenden Schutz bietet.

Das Problem der Credential-Persistenz

Das deutsche CERT-Bund enthüllte, dass das Aktualisieren der betroffenen Geräte allein nicht ausreicht, um eine dauerhafte Kompromittierung zu verhindern, da Angreifer bereits erstellte Konten nutzen können, um Netzwerke zu infiltrieren. Dies unterstreicht ein zentrales Sicherheitsprinzip: Das Patchen von Schwachstellen eliminiert keine Bedrohungen, wenn Angreifer bereits Persistenzmechanismen etabliert haben.

Organisationen, die auf Firmware 5.39 aktualisierten, aber: - alle Administrationspasswörter nicht änderten - VPN-Pre-Shared-Keys nicht rotierten - Active Directory- und externe Authentifizierungsdaten nicht aktualisierten - verdächtige Benutzerkonten nicht überprüften und entfernten - Sicherheitsrichtlinien nicht überprüften und verschärften

blieben anfällig für erneute Angriffe durch gestohlene Anmeldeinformationen während der initialen Exploitation.

Das Vergessene-Geräte-Syndrom: Warum Edge-Security scheitert

Netzwerk-Edge-Geräte – Firewalls, Router, VPN-Gateways – stellen eine besondere Sicherheitsherausforderung dar. Anders als Endpunkte, die durch EDR-Lösungen oder SIEM-Systeme überwacht werden, existieren diese Geräte oft in einem Sicherheits-Blindspot.

Das perfekte Sturm der Vernachlässigung

Mehrere Faktoren tragen zu Schwachstellen bei Edge-Geräten bei:

1. Begrenzte Sichtbarkeit: Traditionelle Netzwerksicherheits-Tools haben Schwierigkeiten, vielfältige IoT- und Netzwerkgeräte zu erkennen und zu verfolgen, was Sicherheitslücken schafft. Firewalls, die vor Jahren installiert wurden, werden oft in Schränken, Serverräumen oder entfernten Büros vergessen und kaum überwacht.

2. Lücken im Patch-Management: Enterprise-Patch-Management-Systeme konzentrieren sich meist auf Server und Workstations. Netzwerkgeräte erfordern oft manuelle Firmware-Updates, die bei Routinewartungen vernachlässigt werden.

3. Credential-Reuse: Standard- oder schwache Admin-Passwörter bleiben oft jahrelang unverändert. Viele Organisationen rotieren Firewall-Zugangsdaten nach der Erstinstallation nie, was eine dauerhafte Schwachstelle schafft.

4. End-of-Life-Geräte: Geräte mit nicht mehr unterstützter Firmware erhalten keine Sicherheitsupdates mehr, was Türen für Exploits öffnet. Organisationen setzen alte Geräte aus Budget- oder Bewusstseinsgründen weiterhin ein.

5. Remote-Management-Exposition: Netzwerk-Edge-Geräte sind attraktive Ziele, weil sie remote zugänglich sind, außerhalb der Endpunktüberwachung liegen, privilegierte Zugangsdaten enthalten und nicht in zentrale Logging-Systeme integriert sind.

Die Statistik erzählt eine beunruhigende Geschichte

Aktuelle Studien zeigen:

2024 wurden fast ein Drittel aller ausgenutzten Zero-Day-Schwachstellen in Netzwerk- und Sicherheitsgeräten entdeckt
Router machen 75% aller IoT-Infektionen aus, Sicherheitskameras weitere 15%
Seit Anfang 2023 haben Netzwerk-Infrastruktur-Geräte die Endpunkte in Bezug auf Risiko überholt

CISA ergreift Maßnahmen: KEV-Katalog-Eintrag

Am 3. Dezember 2024 fügte CISA CVE-2024-11667 seinem Known Exploited Vulnerabilities (KEV)-Katalog hinzu und forderte Bundesbehörden auf, die verfügbaren Patches bis zum 24. Dezember anzuwenden. Diese Einstufung zeigt, dass die aktive Ausnutzung in der Wildnis bestätigt wurde und zwingt zu verpflichtenden Maßnahmen für Bundesbehörden im Rahmen der Binding Operational Directive 22-01.

Der KEV-Eintrag ist ein kritisches Warnsignal für alle Organisationen – wenn Bundesbehörden innerhalb von drei Wochen patchen müssen, ist die Bedrohung ernst und sofort zu handeln.

Umfassende Behebungsstrategie

Der Schutz vor CVE-2024-11667 und ähnlichen Bedrohungen erfordert einen mehrschichtigen Ansatz:

Sofortmaßnahmen (innerhalb von 24 Stunden)

Alle Zyxel-Geräte identifizieren: Netzwerkscans durchführen, um alle Zyxel-Firewall-Geräte zu lokalisieren, auch in entfernten Büros oder vergessenen Standorten
Notfall-Firmware-Update: Alle Geräte sofort auf ZLD Firmware Version 5.39 oder höher aktualisieren
Konto-Reset-Kaskade:
- Alle Admin- und Benutzerpasswörter ändern
- VPN-Pre-Shared-Keys rotieren
- Externe Authentifizierungsserver-Zugangsdaten aktualisieren
- Active Directory-Synchronisationspasswörter ändern
Konto-Audit: Nicht erkannte Admin- und Benutzerkonten löschen, insbesondere solche mit Namen wie “SUPPORT87” oder “VPN”
Sitzungen beenden: Alle aktiven Sitzungen zwangsweise abmelden und erneute Authentifizierung erzwingen

Kurzfristige Absicherung (innerhalb einer Woche)

Sicherheitsrichtlinienüberprüfung:
- Firewall-Regeln entfernen, die uneingeschränkten WAN-Zugang zu Management-Schnittstellen erlauben
- SSL VPN-Zugang auf bestimmte IP-Bereiche beschränken
- Strikte LAN-Segmentierungsrichtlinien umsetzen
Zugriffssteuerung:
- Remote-Management-Schnittstellen deaktivieren, wenn nicht notwendig
- IP-Adressbeschränkungen für Managementzugang implementieren
- Standard-HTTPS- und SSL VPN-Ports ändern, um automatisierte Scans zu erschweren
Multi-Faktor-Authentifizierung: Für alle Admin- und Benutzeranmeldungen Zwei-Faktor-Authentifizierung erzwingen

Langfristige Sicherheitsstrategie

Kontinuierliche Überwachung: ²⁴⁄₇-Log-Analyse mit Fokus auf:
- Neue Kontenerstellungen
- Fehlgeschlagene Authentifizierungsversuche
- Konfigurationsänderungen
- Ungewöhnliche VPN-Verbindungen
- Datei-Uploads/-Downloads über die Management-Schnittstelle
Regelmäßige Sicherheitsüberprüfungen: Vierteljährliche Überprüfung aller Edge-Geräte, inklusive:
- Firmware-Versionen
- Passwortstärke
- Nicht genutzte Konten entfernen
- Konfigurationshärtung validieren
Asset-Management: Umfassendes Inventar aller Netzwerkgeräte mit:
- Firmware-Versionen
- Letztes Update
- Administrative Zugangsdaten (sicher gespeichert)
- Kritikalitätsbewertungen
- Austauschplänen
Vorfallmanagement: Entwicklung spezieller Playbooks für Edge-Geräte, inklusive Isolationsverfahren und Beweissicherung

Die größeren Auswirkungen: Edge-Gerätesicherheit 2024

Die Kampagne zur Ausnutzung von CVE-2024-11667 zeigt einen breiteren Trend in der Cybersicherheit. Angreifer verschieben den Fokus vom Phishing auf die Ausnutzung von Edge-Geräten, da Phishing dank verbesserter Verteidigungsmaßnahmen in den letzten zehn Jahren weniger effektiv ist. Mit nur 14% der Angriffe 2024, die auf Phishing zurückgehen, hat sich die Bedrohungslandschaft grundlegend verschoben.

Warum Edge-Geräte die neue Front wurden

Aus Sicht der Angreifer bieten Edge-Geräte mehrere Vorteile:

Keine EDR/AV-Abdeckung: Firewalls und Router laufen nicht mit Endpoint-Detection-Lösungen
Privilegierte Netzwerkposition: Kompromittierung gewährt sofortigen Zugriff auf internen Traffic
Credential-Tresore: Konfigurationsdateien enthalten Zugangsdaten zu mehreren Systemen
Persistenzmöglichkeiten: VPN-Konten schaffen langfristigen Zugang
Geringes Erkennungsrisiko: Viele Organisationen überwachen Edge-Geräte kaum

Die Kosten der Vernachlässigung

Fehlende Sicherheitsmaßnahmen bei Edge-Geräten sind die häufigste Ursache für Versicherungsablehnungen bei Cyber-Versicherungen (43%), gefolgt von Nichtbefolgung von Compliance-Regeln (33%). Organisationen, die Edge-Geräte vernachlässigen, riskieren:

Ransomware-Angriffe: wie Helldown Zyxel-Geräte ins Visier nimmt
Datenverletzungen: Exfiltration sensibler Unternehmensdaten
Regulatorische Strafen: Nichteinhaltung von Sicherheitsstandards
Versicherungsablehnungen: wegen unzureichender Sicherheitspraktiken
Reputationsschäden: 80% der Kunden wechseln, wenn sie ihre Daten nicht geschützt sehen

Lektionen aus der Helldown-Kampagne

Die Ausnutzung von Zyxel-Firewalls durch Helldown bietet wichtige Erkenntnisse für Sicherheitsexperten:

Lektion 1: Patchen ist notwendig, aber nicht ausreichend

Sicherheitsupdates beheben bekannte Schwachstellen, eliminieren aber keine bestehenden Kompromittierungen. Organisationen sollten bei kritischen Edge-Geräten von einem Angriff ausgehen und umfassende Credential-Rotation sowie forensische Untersuchungen durchführen.

Lektion 2: Edge-Geräte benötigen spezielle Sicherheitsmaßnahmen

Traditionelle Sicherheits-Tools und -Prozesse schützen Netzwerk-Edge-Geräte nicht ausreichend. Es sind dedizierte Strategien, Überwachungslösungen und Wartungsverfahren erforderlich.

Lektion 3: Die Lieferkette reicht bis zu Netzwerkgeräten

Staatliche Akteure und Ransomware-Gruppen zielen zunehmend auf Netzwerk-Infrastruktur ab, da diese als Einstiegspunkt dienen. Die Sicherheitslage der Netzwerkgeräte beeinflusst die gesamte Resilienz der Organisation.

Lektion 4: Vergessene Geräte werden tödliche Schwachstellen

Das alte Firewall im Zweigstellen-Büro, der Backup-Router, an den niemand mehr denkt, die nicht mehr unterstützte VPN-Gateway – diese vergessenen Geräte sind kritische Sicherheitslücken. Regelmäßige Asset-Discovery und Stilllegung sind essenziell.

Ausblick: Edge-Sicherheit 2024

Die Kampagne zur Ausnutzung von CVE-2024-11667 zeigt einen Trend: Angreifer verschieben den Fokus von Phishing auf die Ausnutzung von Edge-Geräten, da Phishing durch bessere Abwehrmaßnahmen weniger effektiv ist. Mit nur 14% der Angriffe 2024, die auf Phishing zurückgehen, ist die Bedrohungslage im Wandel.

Warum Edge-Geräte die neue Grenze sind

Aus Sicht der Angreifer bieten Edge-Geräte Vorteile:

Keine EDR/AV-Abdeckung: Firewalls und Router laufen ohne Endpoint-Detection
Privilegierte Position: Sofortiger Zugriff auf internen Traffic
Zugangsdaten-Schätze: Konfigurationsdateien enthalten Zugangsdaten
Persistenz: VPN-Konten sichern langfristigen Zugang
Geringe Erkennung: Viele Organisationen überwachen Edge-Geräte kaum

Die Folgen der Vernachlässigung

Fehlende Sicherheitsmaßnahmen bei Edge-Geräten führen zu:

Ransomware-Angriffen: wie Helldown Zyxel-Geräte ins Visier nimmt
Datenlecks: Exfiltration sensibler Daten
Regulatorische Strafen: bei Nichteinhaltung
Versicherungsablehnungen: wegen unzureichender Sicherheit
Reputationsverlust: 80% der Kunden wechseln bei Sicherheitsmängeln

Erkenntnisse aus der Helldown-Kampagne

Die Ausnutzung von Zyxel-Firewalls durch Helldown zeigt:

Lektion 1: Updates sind notwendig, aber nicht ausreichend

Updates beheben bekannte Schwachstellen, aber nicht bereits etablierte Kompromittierungen. Es ist wichtig, bei kritischen Edge-Geräten auf Credential-Rotation und forensische Analysen zu setzen.

Lektion 2: Edge-Geräte brauchen spezielle Sicherheitsmaßnahmen

Standard-Tools greifen hier nicht, es sind spezielle Strategien und Überwachung notwendig.

Lektion 3: Netzwerkgeräte sind Angriffsziel

Staatliche Akteure und Ransomware-Gruppen setzen auf Netzwerk-Infrastruktur als Einstieg.

Lektion 4: Vergessene Geräte sind Risiken

Alte Firewalls, Router, VPN-Gateways – diese Geräte sind Sicherheitslücken. Regelmäßige Inventarisierung und Stilllegung sind Pflicht.

Zukunftsausblick: Edge-Security

Angreifer setzen auf Edge-Geräte, weil Phishing weniger effektiv ist. Organisationen müssen:

Empfohlene Sicherheitsmaßnahmen

Zero Trust für Netzwerkgeräte: Kontinuierliche Verifikation und Segmentierung
Automatisierte Compliance-Überwachung: Erkennung veralteter Firmware, schwacher Passwörter, Konfigurationsabweichungen
Zentralisierte Verwaltung: Konsolidierung in Management-Plattformen mit Logging und Alerts
Regelmäßige Penetrationstests: Fokus auf Pfad-Traversal und Authentifizierungs-Bypass
Anbietersicherheitsanforderungen: Bei Beschaffung von Geräten:
- Sicherheits-Updates mit SLAs
- Schwachstellen-Disclosure-Prozesse
- Sichere Entwicklungsprozesse
- End-of-Life-Migration

Fazit: Vom Sicherheitsgerät zum Sicherheitsrisiko

Die Ironie von CVE-2024-11667 ist tiefgründig: Geräte, die zum Schutz der Netzwerke eingesetzt werden, wurden zum Einfallstor für verheerende Ransomware-Angriffe. Zyxel-Firewalls, eigentlich zum Schutz der Perimeter gedacht, wurden durch einen einfachen Directory Traversal-Fehler zum Einstiegspunkt für Helldown, um Anmeldeinformationen zu stehlen, Persistenz zu schaffen und Verschlüsselungs-Malware zu verteilen.

Dieses Ereignis zeigt eine grundlegende Wahrheit der modernen Cybersicherheit: Sicherheit ist nur so stark wie das am wenigsten überwachte Gerät im Netzwerk. Vergessene Firewalls, veraltete Router und “Set it and forget it”-VPN-Gateways sind kritische Schwachstellen, die nur darauf warten, ausgenutzt zu werden.

Zukünftig müssen Organisationen erkennen, dass Edge-Geräte die gleiche Aufmerksamkeit, Ressourcen und Überwachung verdienen wie Server und Endpunkte. Der Weg in den Ransomware-Hell ist oft gepflastert mit veralteter Firmware, unveränderten Standardpasswörtern und Geräten, die auf dem Radar der Sicherheitsabteilung verloren gegangen sind.

Die Frage ist nicht, ob Ihre Edge-Geräte verwundbar sind – sondern, ob Sie diese Schwachstellen rechtzeitig entdecken und beheben, bevor der nächste Ransomware-Angreifer zuschlägt.

Zentrale Erkenntnisse

CVE-2024-11667 ermöglicht Angreifern das Hoch- und Herunterladen von Dateien über Zyxel Firewall-Managementschnittstellen
Helldown-Ransomware hat diese Schwachstelle seit August 2024 ausgenutzt, um mindestens 31 Organisationen zu kompromittieren
Patches allein reichen nicht – umfassende Credential-Rotation und Kontenüberprüfung sind essenziell
Edge-Geräte sind die neue Front für Ransomware, da Phishing an Effektivität verliert
Vergessene oder schlecht gewartete Geräte schaffen kritische Sicherheitslücken, die aktiv ausgenutzt werden
Der KEV-Eintrag von CISA fordert Bundesbehörden auf, bis zum 24. Dezember 2024 zu patchen, was auf eine aktive, schwere Bedrohung hinweist