Jetzt handeln: Angreifer nutzen PrintNightmare Lücke in Windows aktiv aus

[#1]

---

@boomboom  schrieb:

@einmalnoch 

zumindest kommt er da nicht theoretisch irgendwie an administrative Accounts.. so war mein gedanke.

---

Schon klar und ist ein guter Gedanke, aber in der heutigen Zeit der Zusammenarbeit unter DATEV wohl wenig praktikabel.

[#2]

Cool 😎 wäre es ja im Sinne des genossenschaftlichen Gedanken, wenn sich die Techniker von DATEVasp und Smart IT einmal mit einer Art Best Practice melden würden, oder? 😉

Oder wenn diese erklären würden, was sie dagegen unternommen haben. Von mir aus in einem extra Beitrag / geschützt auf der Homepage der DATEV, wenn es wegen der Öffentlichkeit und der damit verbundenen höheren Angriffsmöglichkeit Probleme gibt. 

[#3]

Ist das Thema denn für uns durch, wenn ich alle als „Direktdruck“ einrichte?

Vlt kann Datev dazu was sagen? 

Ohne Spooler zu drucken würde uns vermutlich fast nicht einschränken..

geht pdf als direktdruck?

[#4]

Ohne spooler Dienst kein Druck !

Impact of workaround Stopping and disabling the Print Spooler service disables the ability to print both locally and remotely.

[#5]

Tipp: Sollten Sie Ihren Drucker nur selten verwenden, können Sie den Spooler-Dienst auch komplett ausschalten. Insofern umgehen Sie direkt Fehler und übermitteln alle Druckaufträge an den Drucker, ohne Umwege.

https://www.tonerpartner.de/spooler/

[#6]

---

@boomboom  schrieb:

Tipp: Sollten Sie Ihren Drucker nur selten verwenden, können Sie den Spooler-Dienst auch komplett ausschalten. Insofern umgehen Sie direkt Fehler und übermitteln alle Druckaufträge an den Drucker, ohne Umwege.

https://www.tonerpartner.de/spooler/

---

Das Windows Spooler Subsystem kümmert sich um alle Belange des Druckens auf einem Windows Rechner, es wird leider Druckerwarteschlange bezeichnet, die eigentliche Warteschlange ist nur ein kleiner Teil des Dienstes.

Die Beschreibung in den Eigenschaften des Dienstes:

Dieser Dienst spoolt Druckaufträge und verarbeitet Interaktionen mit dem Drucker. Wenn Sie diesen Dienst ausschalten, können Sie weder drucken noch Drucker anzeigen.

[#7]

Ach, das ist doch **bleep**e.. 

Also der direkt eingerichtete Drucker wird mir noch angezeigt, alle anderen sind offline... dennoch kommt kein Druck raus. Irgendwie müssen die doch auch ohne Spooler laufen, sofern der Drucker das unterstützt. 

[#8]

Seit drei Tagen nichts gedruckt, aber die Teilnahmeerklärung zum Kontoumsatzabruf durchbrach unseren "Run".

Einfach nichts mehr drucken ist die Lösung. Hinter dem Angriff stehen sicher "militante, salafistische Digitalisierende."

genderedit 😉

[#9]

*innen. ;-D

[#10]

---

@deusex schrieb:

Einfach nichts mehr drucken ist die Lösung. 

---

Ohne DATEV kann man das bestimmt schon gut machen aber wenn DATEV selbst für eine Vorschau oder Ansicht intern druckt statt es anders aufzubereiten - ultra schwierig. Nachher muss man noch an die Crystal Reports ran und die ebenfalls so stricken, dass nichts mehr als Druck technisch aufbereitet wird und dann ist das aber Drittanbieter Software, wo DATEV wenig Einfluss drauf hat. 

Also: abwarten auf 2026/2029 und der technisch Browserumsetzung 😬. 

[#11]

Update / Tipp: Microsoft Defender for Identity kann PrintNightmare-Angriffe erkennen

[#12]

Und wie geht DATEV damit nun um? DATEVasp und Smart IT werden wohl sicher sein aber alle anderen Kanzleien? 🤔

Microsoft rät zum Abschalten des Windows-Druckerspoolers

Den Dienst kann man ja guten Gewissens nicht deaktivieren, wie wir alle festgestellt haben und bis zum 10. August, zum Patchday, sind es noch ein paar Tage zu gehen 😫. 

[#13]

Tja, dass das Abschalten des Spoolers als temporärer Fix gilt, ist in der Tat schon ziemlich bemerkenswert.

Vielleicht sollte mann lieber temporär alle Windows-Maschinen ausschalten?! Dies würde zusätzlich auch gegen alle aktuell völlig unbekannten Zero-Day-Nighmare Dinge helfen ...

Vielleicht sollten wir uns nicht zu verrückt machen und auf nun wohl folgenden weekly patchday einstellen 😉 - haben ja praktisch eh keine andere Wahl?! Mal sehen, ob heute Abend ein neues out of ... kommt?! Vielleicht kann diesmal ja auch ein "micropatch" stattt eines großem CU helfen?!

Derzeit steht zumindest die Untersuchung oder besser die klare Dokumentation der Ergebnisse von MS aus.

Wie DATEV hier agiert würde mich auch interessieren.

Achtung!: In meinem Post befindet sich etwas Zynik und auch Ironie, also nicht alles ernst nehmen!

[#14]

---

@metalposaunist  schrieb:

Den Dienst kann man ja guten Gewissens nicht deaktivieren, wie wir alle festgestellt haben und bis zum 10. August, zum Patchday, sind es noch ein paar Tage zu gehen 😫. 

---

Stimmt. Noch bitterer ist es, dass MS so blöd war und die Lücke veröffentlicht hat bevor ein Patch zur Verfügung steht. MS hatte ja noch Zeit bis 8. August...

https://www.golem.de/news/sicherheitsluecke-microsoft-raet-zum-abschalten-des-windows-druckerspoolers-2107-158276.html

[#15]

Damit auch keine Langeweile aufkommt:

https://labs.sentinelone.com/cve-2021-3438-16-years-in-hiding-millions-of-printers-worldwide-vulnerable/

[#16]

Wer in aller Hölle nutzt bitte HP & Samsung 😲? Xerox, nun gut aber HP? 🤢 Samsung? 🤢 Die von Waschmaschinen über Smartphones bis hin zu Fernsehern alles bauen?! Irgendwie lässt mich mein Gefühl selten im Stich. 

[#17]

Irgendwo stad, dass die betroffenen Samsung und Xerox HP OEM Geräte sind.😱

[#18]

hp 4xxx/2xxx  steht immer schon in irgendwelchen büros.. 20 jahre alt, 200.000 seiten.. läuft ;-).

aber vermutlich immer weniger..

[#19]

---

@metalposaunist  schrieb:

Wer in aller Hölle nutzt bitte HP & Samsung 😲? Xerox, nun gut aber HP? 🤢 Samsung? 🤢 Die von Waschmaschinen über Smartphones bis hin zu Fernsehern alles bauen?! Irgendwie lässt mich mein Gefühl selten im Stich. 

---

HP Taschenrechner WAREN einmal undiskutierte Weltspitze, mein HP 19C von 1976 tut es immer noch.

Die neuen Modelle sind Mist.   Alternative:  https://www.swissmicros.com/product/dm42

HP Switches sind robust, die Firmware wird auch Jahre nach Einstellung einer Serie noch gepflegt.  Die Konfiguration ist logisch und einfach, die Geräte arbeiten standardkonform, die Performance stimmt.  Im Vergleich zu Cisco, Juniper und Extreme Networks sind die Preise günstig.

Nennen Sie bessere bezahlbare Switche ...

HP Drucker WAREN ebenfalls Weltspitze, bspw. LaserJet 4V, als Canon noch das Druckwerk lieferte.   Die kleinen HPs sind Sondermüll, die "großen" sind o.K..

Was deren "Windows-Treiber" angeht -- katastrophaler geht es wohl nicht.

Die Alternative "Kyocera" macht unterdessen aber auch fiese Probleme.

M.E. ist HP das kleinere Übel - höre aber gern die Erfahrungen Anderer.

HP Server ?   Wir haben jahrelang IBM-Blades propagiert und auch IBM/Lenovo Xseries eingesetzt.   Bis wir im eigenen Rack dann einen HP DL380 hatten.   Superdurchdachtes Design, konservative Auslegung, 1a Managementschnittstellen, hervorragende Leistung, geringe Leistungsaufnahme aus dem Netz.

HP ist Allerweltsmist ?   Kann ich nicht nachvollziehen.

[#20]

---

@boomboom  schrieb:

hp 4xxx/2xxx  steht immer schon in irgendwelchen büros.. 20 jahre alt, 200.000 seiten.. läuft ;-).

aber vermutlich immer weniger..

---

HP 9040/9050. Immer noch. Die halten ewig. Robust, Preiswert. Schade nur, dass deren Ventilatoren im Sommer nicht kühlen....

Mit einem davon haben wir über ein Viertelmillion Seiten gedruckt. Wird aber definitiv weniger.

In den letzten Jahren ist unser Druckvolumen um eine niedrige 6stellige Anzahl gesunken. Digitalisierung eben.....

[#21]

@andreashofmeister 

um oder auf? 

Wir machen immer noch relativ viel mit Papier.. ein Formulardrucker (im Schnitt 50% Seitendeckung oder sowas) hatte mit dem dritten Fuser knapp 500.000 Seiten runter. Dann hatte er Papierstau und ging in Rente.. die Teile halten teilweise ewig.. mit Samsung wird das - vermutlich - aber schwierig.

[#22]

---

@boomboom  schrieb:

@andreashofmeister 

um oder auf? 

Um eine niedrige 6stellige Zahl auf eine (noch) niedrige 7stellige Zahl.

[#23]

oh, da geht dann aber auch noch was durch ;-). 

[#24]

Hallo Community,

es geht weiter mit den Sicherheitslücken - jetzt sind die User-Passworte von Win 10 offen. 

HiveNightmare: Nutzer können die Windows-Passwort-Datenbank auslesen | heise online

Das schreibt heise dazu!!!

"Workarounds für die Schwachstelle

Von Microsoft gibt es bisher keine Hinweise zur Beseitigung der Schwachstelle. Man könnte zwar die Schattenkopien löschen beziehungsweise abschalten, verliert dadurch aber die Möglichkeit, beschädigte Hives wiederherzustellen. Vom US-CERT gibt es in der entsprechenden Sicherheitswarnung den Vorschlag, die Zugriffsberechtigungen für die Gruppe Users durch die nachfolgenden Befehle, ausgeführt in einer administrativen Eingabeaufforderung, zu entziehen.

icacls %windir%\system32\config\sam /remove "Users"
icacls %windir%\system32\config\security /remove "Users"
icacls %windir%\system32\config\system /remove "Users"

Besser wäre es jedoch, die Zugriffsberechtigungen in verwalteten Umgebungen mittels Gruppenrichtlinie anzupassen. Die entsprechenden Registry-Einträge befinden sich unter Computerconfiguration ->Richtlinien ->Windows-Einstellungen ->Sicherheitseinstellungen ->Dateisystem.

Zudem sind im Anschluss an die Ausführung der obigen Befehle alle VSS-Schattenkopien des Systemlaufwerks zu löschen - andernfalls ließen sich die Informationen weiterhin auslesen. Allerdings besteht die Gefahr, dass die geänderten Zugriffsrechte Folgeprobleme auslösen."

[#25]

Ich will nimmer 😭

[#26]

Für HiveNightmare hier entlang 😉: HiveNightmare: Nutzer können die Windows-Passwort-Datenbank auslesen

[#27]

---

@renek  schrieb:

Ich will nimmer 😭

---

Also doch Linux?

[#28]

---

@andreashofmeister  schrieb:

---

@renek  schrieb:

Ich will nimmer 😭

---

Also doch Linux?

---

Na ja, CUPS ist ja auch nicht davor gefeit:

https://www.bsi.bund.de/SharedDocs/Warnmeldungen/DE/CB/2021/03/warnmeldung_cb-k20-1190_update_8.html 

oder

https://www.golem.de/news/it-sicherheit-etwa-80-000-drucker-sind-im-internet-offen-ansteuerbar-2006-149276.html 

CUPS = Common Unix Printer System

---

[#29]

Heise schreibt vor allem "Maschinen, die sich in einer Domäne befinden, sind demnach selten betroffen", damit dürfte sich dieses Problem für die Meisten vermutlich nicht stellen.

[#30]

wann hab ich mich zuletzt als lokaler admin eingeloggt.. jahre her. da dürfte nichts (mehr) sein.. oder hab ich das Problem falsch verstanden?

Falls nicht, dürfte es den meisten Kanzleien nicht anders gehen..

Warum heißen die Dinger mittlerweile immer "Nightmare"?