Author Archives: Klaus Jochem

Petition 89913: Generelles Tempolimit von 130 km/h auf deutschen Autobahnen

17. März 2019

Im WEF Global Risk Report 2019 wird das Risiko Failure of climate-change mitigation and adaption unter den Top 5 Risiken sowohl bei Eintrittswahrscheinlichheit als auch bei Auswirkung an Position 2 gesehen, vor dem Risiko Cyber-Attacks.

We need change!

We need change!

Tempo 130 auf deutschen Autobahnen kann einen Beitrag zur Erreichung der CO2-Einsparungsziele Deutschlands leisten. Diese Maßnahme ist sofort wirksam, mit geringen Implementierungskosten verbunden und hat keine Auswirkungen auf die vernetzte Logistik in Deutschland und Europa. Wer kann das von einer Maßnahme im IT-Security Umfeld sagen?

Bitte helfen Sie mit. Unterstützen Sie die Petition 89913: Straßenverkehrs-Ordnung – Generelles Tempolimit von 130 km/h auf deutschen Autobahnen. Details hier:

Vielen Dank!

SpeakUp – Lateral movement made easy

10 March 2019

A remote command-injection vulnerability dubbed SpeakUp (CVE-2018-20062) (1) in the ThinkPHP development framework was widely reported in the news some weeks ago. Technically, SpeakUp is simply one more command-injection vulnerability with CVSS V3.0 base score Critical that results in full loss of integrity if exploited.

CVE-2018-20062 alike Vulnerabilities 2018

CVE-2018-20062 alike Vulnerabilities 2018

CVE-2018-20062-class vulnerabilities are quite rare. As of 10 March 2019 only 182 of the 16517 vulnerabilities published in 2018 belong to this class. Exploitation of any of these vulnerabilities results in full loss of integrity of the attacked system. In the worst case, the compromised system becomes the new base of operations for the attacker and allows him to compromise further systems.

Tara Seals provides a brief outline (2) on ThreatPost of the initial infection routine. For more details see the Checkpoint Research report (3) about SpeakUp.

Lateral movement in Linux-based networks places special challenges on the attacker. In general, vulnerabilities in applications must be used for propagation. SpeakUp uses an impressive arsenal of old vulnerabilities in application frameworks for propagation. Seals writes:

“To spread, SpeakUp’s propagation code exploits known vulnerabilities in six different Linux distributions, including JBoss Enterprise Application Platform security bypass vulnerabilities (CVE-2012-0874); a JBoss Seam Framework remote code execution (RCE) flaw (CVE-2010-1871); a JBoss AS 3/4/5/6 RCE exploit; a Oracle WebLogic wls-wsat Component Deserialization RCE (CVE-2017-10271); a vulnerability in the Oracle WebLogic Server component of Oracle Fusion Middleware (CVE-2018-2894); a Hadoop YARN ResourceManager command-execution exploit; and an Apache ActiveMQ Fileserver File Upload RCE vulnerability (CVE-2016-3088).”

The table below shows some details of the above mentioned vulnerabilities.


Application Framework

CVSS Base Score

Attack Vector


JBoss Enterprise Application Platform (EAP)

6.8 (CVSS v2.0)

V:N/AC:M/Au:N/C:P/I:P/A:P (CVSS v2.0)


JBoss Enterprise Application Platform (EAP)

6.8 (CVSS v2.0)

(AV:N/AC:M/Au:N/C:P/I:P/A:P) (CVSS v2.0)


Oracle WebLogic Server

7.5 (CVSS v3.0)



Oracle WebLogic Server

9.8 (CVSS v3.0)



Fileserver web application in Apache ActiveMQ

9.8 (CVSS v3.0)


Any of the listed vulnerabilities enables the attacker to create new operations bases. In the worst case, he can jump across network boundaries, e.g. from the DMZ into the company intranet or from the company intranet into the production network.

How to stop this kind of attacks?

From the tactical point of view, vulnerability management is the key to stop this kind of attacks as early as possible. CVE-2018-20062-class vulnerabilities and remote code or script execution vulnerabilities must be patched directly after they show up on the market. At least in the DMZ and on systems on both sides of network boundaries. This will prevent the attacker from lateral movement.

Vulnerability management relies on asset management. And on CI/CD across the entire application stack because without automated testing it is not possible to make sure that the application is still working after the patches have been applied.

From a strategic point of view, measures must be applied to enlarge the resilience of application systems against cyber attacks. This includes e.g. micro segmentation or Web Application Firewalls but also Linux native enhancements like AppArmor or SELinux.

And this holds for both, cloud and on-premise hosted applications.

Have a great week.


1. NIST NVD. NVD – CVE-2018-20062 [Internet]. 2018 [cited 2019 Feb 6]. Available from:

2. Seals T. SpeakUp Linux Backdoor Sets Up for Major Attack [Internet]. threatpost. 2019 [cited 2019 Feb 6]. Available from:

3. Check Point Research. SpeakUp: A New Undetected Backdoor Linux Trojan [Internet]. Check Point Research. 2019 [cited 2019 Feb 6]. Available from:


The 5G security debate in Germany gains momentum

2 February 2019

Report ‘Deutsche Telekom proposes steps to make 5G safe as Huawei debate rages’ (1) published on January 30, 2019 by Reuters Technology News makes clear that at least the German government and the Deutsche Telekom started to discuss 5G security issues.

“Deutsche Telekom takes the global debate on the security of network equipment from Chinese providers very seriously,” the company said in a statement that spelled out three confidence-building measures.

The company, which is nearly one-third state owned, proposed that all critical infrastructure should be independently certified before deployment by an independent laboratory under state oversight.”

That sounds good.

“It also called for network equipment makers to submit the source code that runs their equipment to a trusted third party. Under certain circumstances, an operator would be able to gain access to address any security vulnerabilities.”

From my point of view, this is not sufficient to increase trust in Huawei’s hard- and software. Moreover, it is also not enough to investigate Huawei hardware and software only. If it comes to matters of national security we should trust no network equipment supplier.

Hardware and source code of all vendors must be verified by an independent organization. Only verified hard and software versions are approved for installation and operations. In addition, a technical testing organization must oversee the installation of hardware and software to make sure that only verified components are installed.

I strongly recommend that the German government should found an independent firm for certifying the software and hardware of any network equipment supplier involved. A trusted German partner should hold a share of at least 51% in this company. Goal of this company is not spying on the suppliers know how, but to create trust in a critical infrastructure.

View on Saargau

View on Saargau from 49.596700, 6.618173

Without trust in the 5G network infrastructure, service providers will not take full advantage of the technology. This will throw back the digitalization in Germany, and thus the German economics, by years. Internet access with 2 MBit/s, the standard in the rural German area Saargau, is definitely not enough to be competitive in the long-term, not to mention for self-driving cars or remote surgery.

Enjoy the view on Saargau.


1. Busvine D, Rinke A. Deutsche Telekom proposes steps to make 5G safe as Huawei debate rages. Reuters [Internet]. 2019 Jan 30 [cited 2019 Feb 2]; Available from:

Sorge um Datensicherheit im 5G-Mobilfunknetz– Berlin erwägt Huawei beim Netzausbau auszusperren

20. Januar 2019

Seit einigen Wochen häufen sich die Berichte in der Presse über Zweifel an der Vertrauenswürdigkeit des chinesischen 5G-Technologielieferanten Huawei. Australien(1) und Neuseeland(2) haben Huawei bereits als Technologielieferant ausgeschlossen, Großbritannien(3) hat erhebliche Zweifel an der Datensicherheit der Huawei Technologie.

Auch in Deutschland wird diskutiert, Huawei vom 5G-Mobilfunknetzausbau auszuschließen. Friedolin Strack, Sprecher der Geschäftsführung des Asien-Pazifik-Ausschusses der Deutschen Wirtschaft, stellt in einem Interview mit Felix Rohrbeck in der Zeit Nr. 1/2019(4) die Vertrauensfrage: „Es wäre Quatsch, Unternehmen wie Huawei grundsätzlich von europäischen Aufträgen auszuschließen. Aber im besonders sensiblen Bereich der neuen Mobilfunk-Infrastruktur muss man sich schon fragen, welchen Partnern man vertrauen kann.“

Friedolin Strack liefert im Interview Lösungsansätze für die Schaffung sicherer Kommunikationsnetze: “Konkret gibt es zwei Möglichkeiten, sichere Telekommunikationsnetze in Deutschland zu gewährleisten: zum einen über die Gestaltung der Ausschreibungen für die Vergabe der 5G-Frequenzen. Oder man passt einfach das Telekommunikationsgesetz an und verpflichtet die Betreiber auf Technologien, die Datensicherheit gewährleisten. So hat das beispielsweise Australien gelöst.”

“Technologien die Datensicherheit gewährleisten” – das klingt vielversprechend, ist jedoch nicht “einfach” per Gesetz zu erzielen. Zudem ist nicht klar, was im Umfeld der 5G-Plattform unter Datensicherheit zu verstehen ist.

Das BSI Glossar der Cyber-Sicherheit definiert Datensicherheit(5) wie folgt:

“Mit Datensicherheit wird der Schutz von Daten hinsichtlich gegebener Anforderungen an deren Vertraulichkeit, Verfügbarkeit und Integrität bezeichnet. Ein modernerer Begriff dafür ist Informationssicherheit.”

Friedolin Strack reduziert Datensicherheit auf Vertraulichkeit. Aus Sicht der deutschen Wirtschaft ist dies nachvollziehbar. Der Schutz von geistigem Eigentum ist die Grundlage für den Erfolg der deutschen Unternehmen auf dem Weltmarkt.

Im Umfeld der 5G Plattform ist Vertraulichkeit hauptsächlich auf 2 Ebenen relevant:

  1. Gewährleistung der Vertraulichkeit der Teilnehmerdaten.
  2. Gewährleistung der Vertraulichkeit der Nutzdaten, die Teilnehmer über die Plattform mit anderen Teilnehmern oder Diensteanbietern austauschen.

Die Vertraulichkeit der Teilnehmerdaten ist von den Serviceprovidern zu gewährleisten. Der Lieferant der Plattformtechnologie sollte im Idealfall nicht auf Teilnehmerdaten zugreifen müssen.

Technologien zur Sicherung der Vertraulichkeit der Nutzdaten sind bekannt und unabhängig von der Plattform umsetzbar. Die Ende-zu-Ende Verschlüsselung(6) ist die bevorzugte Lösung. Hier erfolgt die Ver- und Entschlüsselung der Informationen auf den Endgeräten der Teilnehmer. Solange der Plattformbetreiber keinen Zugriff auf die Schlüssel hat ist die Vertraulichkeit gewährleistet.

Voraussetzung für die Ende-zu-Ende Verschlüsselung ist die Bereitstellung einer sicheren Schlüsselverwaltungsstelle, die die Online-Identitätsprüfung der Teilnehmer ermöglicht und die öffentlichen Schlüssel der Teilnehmer für die Verschlüsselung bereitstellt.

Schneller, flächendeckender Internetzugriff ist die Voraussetzung für die erfolgreiche Digitalisierung und die Umsetzung von Industrie 4.0 in der deutschen Wirtschaft. Daneben stellt die 5G-Plattform die Infrastruktur für Smart-Grid Anwendungen im Energiesektor, Smart- und Connected-Car Anwendungen und selbstfahrende Kraftfahrzeuge im Transportsektor, e-Health Anwendungen im Gesundheitswesen, usw. bereit.

5G Security

In diesem Umfeld sind Datenintegrität und Verfügbarkeit der Plattform von größter Wichtigkeit, da deren Verlust zum Verlust der funktionalen Sicherheit führen kann. Verfälschte Energieverbrauchsdaten aus dem Smart-Grid können zu großräumigen und langandauernden Stromausfällen führen wenn die Stromnetzbetreiber falsche Entscheidungen auf Grundlage dieser Daten treffen. Der Ausfall der Plattform kann zum Stillstand der gesamten selbstfahrenden Transportflotte führen, etc. In letzter Konsequenz gefährdet der Verlust der Datensicherheit der 5G-Plattform die nationale Sicherheit Deutschlands.

Die 5G-Plattform und sämtliche Services sind kritische Infrastrukturen (KRITIS) und unterliegen damit den Regelungen des IT-Sicherheitsgesetzes. Sind die Vorgaben des IT-Sicherheitsgesetzes ausreichend, wenn es um Fragen der nationalen Sicherheit geht?

Die Überlegung, Huawei als Technologielieferant für die 5G-Plattform auszuschließen ist also berechtigt. Wir müssen diese Frage jedoch auch bei amerikanischen oder europäischen Technologielieferanten stellen – wenn es um Fragen der nationalen Sicherheit geht dürfen wir keinem Lieferanten vertrauen.

Aus meiner Sicht sind weder die Gestaltung der Ausschreibungen für die Vergabe der 5G-Frequenzen noch eine Anpassung des Telekommunikationsgesetzes ausreichend um die Datensicherheit zu gewährleisten. Die Vorgehensweise der chinesischen Regierung zur Sicherung ausländischen Knowhows ist der dritte, erfolgversprechende Weg:

  1. Jeder Technologielieferant muss mit einem deutschen Unternehmen eine Partnerschaft eingehen, an der das deutsche Unternehmen 51% der Anteile hält. Ziel der Partnerschaft ist nicht der Transfer des Knowhows auf den deutschen Partner, sondern die Gewährleistung der Datensicherheit der 5G-Plattform.
  2. Der Technologielieferant bringt alle Software mit Quellcode und Hardware in das Unternehmen ein.
  3. Die besten IT-Spezialisten Deutschlands zertifizieren die Hard- und Software, erstellen das Konzept für den sicheren Betrieb der 5G-Plattform und verifizieren dessen Implementierung.
  4. Der Technologielieferant nutzt ausschließlich die zertifizierte Hard- und Software zum Aufbau der 5G-Infrastruktur in Deutschland.

Das verzögert die Einführung der 5G-Plattform etwas, reduziert jedoch die Wahrscheinlichkeit des Verlustes der Datensicherheit drastisch.

Parallel zum Aufbau der 5G Infrastruktur ist die Schlüsselverwaltungsstelle bereitzustellen. Damit ist gewährleistet, dass die Nutzer unabhängig von der Plattform (3G, LTE, 4G, etc.) sicher kommunizieren können. Werden zudem alle E-Mails digital signiert so sind Passwort Phishing Attacken nicht mehr möglich.

Zudem muss die Forschung in neue kryptographische Methoden umgehend intensiviert werden. Die heute genutzten Public-Key-Verfahren sind im Zeitalter von Quantencomputern nicht mehr sicher.


  1. ITV News. Australia bans Huawei from 5G network over security concerns [Internet]. ITV News. 2018 [zitiert 20. Januar 2019]. Verfügbar unter:

  2. Jolly J. New Zealand blocks Huawei imports over ‘significant security risk’. The Guardian [Internet]. 28. November 2018 [zitiert 20. Januar 2019]; Verfügbar unter:

  3. Taylor C. UK defense minister admits „grave concerns“ over Huawei 5G equipment [Internet]. 2018 [zitiert 20. Januar 2019]. Verfügbar unter:

  4. Rohrbeck F. China: „Das ist ein gehöriges Sicherheitsrisiko“. Die Zeit [Internet]. 29. Dezember 2018 [zitiert 29. Dezember 2018]; Verfügbar unter:

  5. Bundesamt für Sicherheit in der Informationstechnik. BSI – Glossar der Cyber-Sicherheit [Internet]. Glossar der Cyber-Sicherheit. [zitiert 6. Januar 2019]. Verfügbar unter:

  6. Ende-zu-Ende-Verschlüsselung. In: Wikipedia [Internet]. 2018 [zitiert 6. Januar 2019]. Verfügbar unter:

Windows Applocker – The almost forgotten IT security workbench

5 January 2019

Dridex[1], Emotet[2], Locky[3], Destover[4], Petya[5], NotPetya, etc. share one feature: They are droppers[6]. A dropper installs malware to a target system and executes it then.

Droppers are delivered mainly by e-mail through phishing or spear phishing attacks. Since they are continuously refined to undergo malware detection the fight against droppers never stops.

The Achilles heel of droppers is that they are executed in the context of the current user during delivery. With this the dropped malware can only be stored in locations where the user has modify privileges, e.g. the user’s home directory.

Seven Phases Cyber Kill Chain

Seven Phases Cyber Kill Chain

If we can prevent the execution of objects from e.g. the user’s home directory the dropper can never execute the installed malware. With this we can block the malware during the delivery / exploitation phase of the Cyber Kill Chain, before the attacker becomes persistent in our network.

That is the idea behind Windows Applocker[7]. The Applocker default rules allow the execution of programs, scripts and dlls only from trusted directory systems, e.g. c:\Program Files, C:\Progam Files (X86), or c:\Windows. If activated, Applocker stops the execution of programs and scripts outside these trusted directories and thus Dridex, Emotet, Locky, Destover, etc.

But Applocker does more than blocking droppers. DLL injection is prevented if DLL rules are enforced. I strongly recommend to enforce the DLL rules from the start. Drive-by downloads, PuA, PuP  and Adware are blocked. Even the exploitation of zero-days like the latest Adobe pdf security flaw, CVE-2018-16011[8], can be mitigated. The entire network becomes more resilient against cyber attacks.

Applocker is perfectly suited to enhance the resilience against cyber attacks in production networks and critical infrastructures. In particular in GxP regulated industries Applocker is worth to be looked at. Since Applocker is integrated in the Windows OS a validation of a third party white-listing application is not required.

Applocker can be enforced on Windows Enterprise Edition installations (starting with Windows 7) with local group policies. To lower the administrative effort it is recommended to join the computers to a domain and enforce the Applocker rules through group policies.

Unfortunately, Microsoft compromises the Applocker approach by tools like Teams and OneDrive. Both are installed in user context, thus will be blocked by Applocker. Since  Applocker allows the definition of exceptions and their roll out with group policies such applications can be handled with manageable effort.

Besides modern applications at least two cyber security sins reduce the effectiveness of Applocker.

  • Users work with permanent admin privileges.

In this case the dropper can install the malware in trusted directories. Working with permanent admin privileges is one of the IT security deadly sins, thus should be avoided anyway.

  • Users have modify access to trusted directories and files.

Check trusted directories and files with AccessEnum. If objects can be modified by users either change the ACLs or define an Applocker exception for them.

Applocker provides great capabilities to enhance the resilience of organizations against cyber attacks. Just give it a try in 2019.

Have a great weekend.


  1. Proofpoint Threat Insight. High-Volume Dridex Banking Trojan Campaigns Return [Internet]. 2017 [cited 2018 Dec 29]. Available from:
  2. Villaroman BC. Spoofed Banking Emails Arrive with EMOTET Malware [Internet]. TrendMicro Threat Encyclopedia. 2018 [cited 2019 Jan 4]. Available from:
  3. Avast Threat Intelligence Team. A closer look at the Locky ransomware [Internet]. Avast Blog. 2016 [cited 2018 Dec 29]. Available from:
  4. Gallagher S. Inside the “wiper” malware that brought Sony Pictures to its knees [Update] [Internet]. Ars Technica. 2014 [cited 2018 Dec 29]. Available from:
  5. Malwarebytes Labs. Keeping up with the Petyas: Demystifying the malware family [Internet]. Malwarebytes Labs. 2017 [cited 2018 Dec 29]. Available from:
  6. Rouse M. What is dropper? – Definition from [Internet]. 2015 [cited 2019 Jan 5]. Available from:
  7. Lich B, Poggemeyer L, Justinha. AppLocker (Windows 10) [Internet]. WIidows IT Pro Center. 2017 [cited 2019 Jan 5]. Available from:
  8. The Hacker News. Adobe Issues Emergency Patches for Two Critical Flaws in Acrobat and Reader [Internet]. Vulners Database. 2019 [cited 2019 Jan 4]. Available from:

Adobe Flash zero day exploited in the wild. Remote code execution vulnerabilities are hacker’s favorites!

8 December 2018

On December 5th, 2018 Adobe published security bulletin APSB18-41[1] for critical vulnerability CVE-2018-15928 in the widely used Flash Player. Gigamon Applied Threat Research (ATR) reported the vulnerability on November 29th, 2018 to Adobe. They detected the issue some days before while analyzing a malicious word document that was uploaded to VirusTotal from a Ukrainian IP address. For a detailed analysis of the attack and the vulnerability see [2][3].

Successful exploitation of CVE-2018-15928 could lead to Arbitrary Code Execution in the context of the current user. Due to RedHat the CVSS3 Base Metrics is CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H with a CVSS3 Base Score of 8.8.

Zero days are not a rare phenomenon. Between 2013 and 2017[4] about 60% of the exploits were disclosed before the related CVE was published.

For about 20% of vulnerabilities in the NVD exploits are published in the exploit database[5]. Only about 1% of the vulnerabilities are exploited in the wild. Thus CVE-2018-15928 is a really rare event.

Remote code/script execution (RxE) vulnerabilities like CVE-2018-15928 represent about 20% of all vulnerabilities. 43% of the exploits published between 1988 and 2018 are related to RxE vulnerabilities.

Remote Code Execution Vulnerabilities. Data: 1988-2018

RxE Vulnerabilities. Data: 1988-2018

Exploits for Remote Code Execution Vulnerabilities. Data: 1988-2018

Exploits for RxE Vulnerabilities. Data: 1988-2018

About 5% of the RxE vulnerabilities are exploited in the wild.

This means, that RxE vulnerabilities are 5 times more often exploited in the wild then Non-RxE vulnerabilities. They are hacker’s favorites!

What does the mean for our vulnerability management strategy?

  • The remediation process must be started directly upon publication of an RxE vulnerability in the NVD or the disclosure of an exploit for an RxE in the exploit database.
  • In scope for the first remediation wave must be at least all systems facing the internet, e.g. workstations, servers in the DMZ or in public clouds.
  • Gathering intelligence about new vulnerabilities from a plethora of publicly available sources (OSINT) is a time-consuming task. A threat intelligence service can speed-up information gathering and reduces the workload of your IT security staff.
  • In addition, since remediation takes some time, it makes sense to invest in means for enhancing the resilience of application systems.

Expect the worst and be prepared. Or, to echo Hamlet:

To be, or not to be, that is the question:
Whether ’tis nobler in the mind to suffer
The slings and arrows of outrageous fortune,
Or to take arms against a sea of troubles,
And by opposing, end them? To die: to sleep;

Have a good weekend.

  1. Adobe. Security updates available for Flash Player | APSB18-42 [Internet]. 2018 [cited 2018 Dec 8]. Available from:

  2. Gigamon Threat Research Team. Adobe Flash Zero-Day Exploited In the Wild [Internet]. Gigamon ATR Blog. 2018 [cited 2018 Dec 8]. Available from:

  3. Qihoo 360 Advanced Threat Response Team. Operation Poison Needles – APT Group Attacked the Polyclinic of the Presidential Administration of Russia, Exploiting a Zero-day [Internet]. 2018 [cited 2018 Dec 8]. Available from:

  4. Jochem K. About 60% of exploits are published before the CVE. What does this mean for your cyber security strategy? [Internet]. IT Security Matters. 2018 [cited 2018 Dec 8]. Available from:

  5. Offensive Security. Offensive Security’s Exploit Database Archive [Internet]. Exploit Database. [cited 2018 Nov 4]. Available from: