Update zur 3CX Schwachstelle durch eine schadhafte Version der Desktop App

Die gute Nachricht gleich zu Beginn:
Durch unser enges Sicherheitsnetz aus hochwertiger Fortinet Firewall und reaktionsschnellen EDR-AntiVirus von SentinelOne wurde die schadhafte Version der 3CX-Dekstopp App bei unseren Kunden, die auf diese beiden Lösungen dank HXS MSSP vertrauen, in Quarantäne gestellt bevor sie Schaden anrichten konnte.

Was ist passiert?

Mit 29. März 2023 wurde eine Schwachstelle in der zu dieser Zeit aktuellen Version der 3CX Desktop App entdeckt. Mit dieser wäre es Hackern möglich zahlreiche Netzwerke zu kompromittieren und Angriffe ausgehenden von der Telefonanlage zu erweitern. Das BSI hat in seiner Aussendung von 30.03.2023 (Version1) die Bedrohungslage mit „3 /Orange“ beurteilt. Dies entspricht einem geschäftskritischen Bedrohungslage, sollte ein Unternehmen von dieser Schwachstelle betroffen sein und diese ausgenützt werden (Quelle: Schadhafte Version der 3CX Desktop App im Umlauf (bund.de)).

Wie haben unsere Systeme reagiert?

AntiVirus von SentinelOne:
Der von uns eingesetzte hochmoderne EDR-AntiVirus von SentinelOne hat als eine der ersten Lösungen am Markt die schadhafte Version der 3CX-App erkannt und unschädlich gemacht. Das heißt, selbst wenn Sie ein Update auf die schadhafte Version durchgeführt hätten, hätte der SentinelOne Sie vor den Auswirkungen der Software geschützt, indem er die 3CX-Applikation einfach löscht.

Unsere Firewall-Lösung von Fortinet:
Auch unsere Firewall-Konfiguration hat eine mögliche Kommunikation zu schädlichen Zielen geblockt, so dass kein Schaden entstehen kann. Zugriffe zu Botnets werden über entsprechende Filter-Mechanismen (Webfilter, DNS-Filter, ApplicationFilter, ...) blockiert.

Tiefgehende Fehleranalyse durch HXS

Alle unsere Kunden haben von der strukturierten und tiefgehenden Fehleranalyse unserer IT-Security Expert*innen profitiert, bei der wir in 6 Schritten Ihre Systeme überprüft haben:

1. Indicator of Comrpomise (IoC) und Threat-Analyse.
2. Prüfung wie viele Geräte bei Ihnen betroffen sind.
3. Prüfung und Testen wie SentinelOne damit umgeht.
4. Prüfung ob die öffentlichen gefährlichen Hashes in der SentinelOne-Blacklist sind.
5. Auswertung der Logs unserer Kunden.
6. Erneutes Durchführen von Full-Scans via SentinelOne um bösartige Hashes zu entfernen.

Weitere Informationen:

3CX Desktop App Compromised (CVE-2023-29059) | FortiGuard Labs (fortinet.com)

SmoothOperator | Ongoing Campaign Trojanizes 3CXDesktopApp in Supply Chain Attack - SentinelOne

Information on Attacks Involving 3CX Desktop App (trendmicro.com)