Im Zentrum des Vorfalls stehen lokal betriebene SharePoint-Server des Schweizer Bundesamts für Informatik und Telekommunikation. Nach Angaben der Behörde wurden sowohl Benutzer- als auch technische Konten kompromittiert. Insgesamt geht es um etwa 200 betroffene Accounts.
Einen bestätigten technischen Eintrittsweg nannte das BIT nicht. Die Behörde erklärte jedoch, der Cyberangriff sei von bislang unbekannten Akteuren durchgeführt worden, vermutlich unter Ausnutzung der SharePoint-Schwachstellen, die im Juli im Rahmen des Patch Tuesday bekannt wurden. Mehrere dieser Lücken wurden inzwischen in den Katalog der bekannten ausgenutzten Schwachstellen der US-Behörde CISA aufgenommen. Weder Microsoft noch CISA haben die Ausnutzung bislang öffentlich einer bestimmten Gruppe zugeschrieben.
Nach einer ersten Auswertung gibt es laut BIT keine Anzeichen dafür, dass außer den kompromittierten Anmeldedaten weitere Daten abgerufen wurden. Gleichzeitig schränkte die Behörde ein, dass die Analyse noch andauert. Zudem verwies sie darauf, dass auf der betroffenen SharePoint-Plattform keine vertraulichen Informationen oder besonders sensiblen Personendaten abgelegt werden dürfen.
Unmittelbar nach der Entdeckung des auffälligen Zugriffs kappte das BIT den Internetzugang zu SharePoint und schloss die Schwachstellen mit Updates. Zusätzlich installiert die Behörde die betroffenen SharePoint-Server nach eigenen Angaben vorsorglich neu.
Die Warnungen rund um die SharePoint-Probleme reichen über den Einzelfall hinaus. Organisationen aus dem privaten und öffentlichen Sektor haben nach den SharePoint-Schwachstellen vom Juli gewarnt. CERT-EU erklärte, angesichts der Zahl jüngster kritischer Schwachstellen in SharePoint sollten Organisationen überdenken, Microsoft SharePoint Server direkt aus dem Internet erreichbar zu machen.
CISA wies zudem auf einen besonders heiklen Aspekt der laufenden Ausnutzung hin: Angreifer entnehmen dem Microsoft-Webserver Internet Information Services (IIS), der SharePoint zugrunde liegt, sogenannte Maschinenschlüssel. Diese kryptografischen Geheimnisse werden zum Signieren von Sitzungstoken verwendet und können Angreifern dauerhafte Zugriffsmöglichkeiten verschaffen.
Sind diese Schlüssel einmal gestohlen, können Angreifer laut CISA Anfragen fälschen, die wie legitim aussehen und auch von vollständig gepatchten Servern weiterhin akzeptiert werden. Ein Abfluss solcher Informationen auf einem SharePoint-Server kann damit die Wirkung der ursprünglichen Schwachstelle überdauern, selbst wenn diese bereits geschlossen wurde. CISA, CERT-EU und weitere nationale CERTs betonten deshalb, dass es nicht genügt, nur Patches einzuspielen: Auch die Maschinenschlüssel sollten ausgetauscht und IIS neu gestartet werden.