Vysvetlené: Masívny kybernetický útok v USA s použitím novej sady nástrojov

Jeden z najväčších kybernetických útokov zameraných na americké vládne agentúry a súkromné ​​spoločnosti, „hack SolarWinds“, sa považuje za pravdepodobné globálne úsilie. Ako sa to uskutočnilo a aké údaje boli ohrozené? Prečo americkí vládni predstavitelia a politici pomenovali Rusko?

Cieľom kybernetického útoku bol Orion, softvér dodávaný spoločnosťou SolarWinds. (Foto Reuters)

Hack SolarWinds, kybernetický útok nedávno objavený v Spojených štátoch, sa ukázal ako jeden z vôbec najväčší namierené proti vláde USA, jej agentúram a niekoľkým ďalším súkromným spoločnostiam. V skutočnosti ide pravdepodobne o globálny kybernetický útok.

Prvýkrát ho objavila americká spoločnosť FireEye, ktorá sa zaoberá kybernetickou bezpečnosťou, a odvtedy sa každý deň objavuje ďalší vývoj. Rozsah kybernetického útoku zostáva neznámy, hoci sa predpokladá, že zasiahnuté boli aj ministerstvo financií USA, ministerstvo vnútornej bezpečnosti, ministerstvo obchodu a časti Pentagonu.

V an názorový príspevok napísané pre The New York Times Thomas P Bossert, ktorý bol poradcom prezidenta Donalda Trumpa pre vnútornú bezpečnosť, označil za útok Rusko. Napísal dôkazy o útoku SolarWinds na ruskú spravodajskú agentúru známu ako SVR, ktorej obchodná činnosť patrí medzi najpokročilejšie na svete. Kremeľ svoju účasť poprel.

Takže, čo je tento „hack SolarWinds“?

Správy o kybernetickom útoku sa po prvý raz objavili 8. decembra, keď FireEye zverejnil blog, ktorý odhalil útok na jej systémy. Firma pomáha s riadením bezpečnosti niekoľkých veľkých súkromných spoločností a federálnych vládnych agentúr.

Generálny riaditeľ FireEye Kevin Mandia napísal v blogovom príspevku, v ktorom uviedol, že spoločnosť bola napadnutá vysoko sofistikovaným aktérom hrozby, pričom to označil za štátom sponzorovaný útok, hoci neuvádzal Rusko. Uviedla, že útok vykonala krajina s najvyššími útočnými schopnosťami a útočník hľadal predovšetkým informácie týkajúce sa určitých vládnych zákazníkov. Uviedla tiež, že metódy používané útočníkmi boli nové.

Potom 13. decembra FireEye povedal, že kybernetický útok, ktorý nazval Campaign UNC2452, nebol obmedzený na spoločnosť, ale zameral sa na rôzne verejné a súkromné ​​organizácie po celom svete. Kampaň sa pravdepodobne začala v marci 2020 a trvá už niekoľko mesiacov, uviedol príspevok. Čo je horšie, rozsah ukradnutých alebo kompromitovaných údajov stále nie je známy, keďže rozsah útoku sa stále zisťuje. Po ohrození systémov došlo k bočnému pohybu a krádeži údajov.

Ako bolo napadnutých toľko amerických vládnych agentúr a spoločností?

Toto sa nazýva útok „Supply Chain“: Namiesto priameho útoku na federálnu vládu alebo sieť súkromnej organizácie sa hackeri zamerajú na dodávateľa tretej strany, ktorý im dodáva softvér. V tomto prípade bol cieľom softvér na správu IT s názvom Orion, ktorý dodáva spoločnosť SolarWinds so sídlom v Texase.

Orion je dominantným softvérom od SolarWinds s klientmi, medzi ktoré patrí viac ako 33 000 spoločností. SolarWinds tvrdí, že to ovplyvnilo 18 000 jej klientov. Mimochodom, spoločnosť vymazala zoznam klientov zo svojich oficiálnych webových stránok.

Podľa stránky, ktorá bola tiež vymazaná z webových archívov Google, zoznam obsahuje 425 spoločností v rebríčku Fortune 500, 10 najlepších telekomunikačných operátorov v USA. Správa New York Times uviedla, že zasiahnuté boli časti Pentagonu, Centrá pre kontrolu a prevenciu chorôb, ministerstvo zahraničia, ministerstvo spravodlivosti a ďalšie.

Spoločnosť Microsoft potvrdila, že našla dôkazy o malvéri v ich systémoch, hoci dodala, že neexistujú žiadne dôkazy o prístupe k produkčným službám alebo údajom o zákazníkoch alebo že jej systémy boli použité na útoky na iných. Prezident Microsoftu Brad Smith uviedol, že spoločnosť začala upozorňovať viac ako 40 zákazníkov, že sa útočníci presnejšie zamerali a kompromitovali.

V správe agentúry Reuters sa uvádza, že hackeri monitorovali dokonca aj e-maily odoslané úradníkmi ministerstva vnútornej bezpečnosti.

Ako získali prístup?

Podľa FireEye hackeri získali prístup k obetiam prostredníctvom trojanizovaných aktualizácií softvéru na monitorovanie a správu IT Orion od spoločnosti SolarWinds. V podstate bola softvérová aktualizácia zneužitá na inštaláciu malvéru „Sunburst“ do Orionu, ktorý si potom nainštalovalo viac ako 17 000 zákazníkov.

FireEye hovorí, že útočníci sa spoliehali na viacero techník, aby sa vyhli odhaleniu a zakryli ich aktivitu. Malvér bol schopný získať prístup k systémovým súborom. Čo fungovalo v prospech malvéru, bolo to, že sa podľa FireEye dokázal spojiť s legitímnou aktivitou SolarWinds.

Po nainštalovaní malvér poskytol hackerom zadné vrátka do systémov a sietí zákazníkov spoločnosti SolarWinds. Ešte dôležitejšie je, že malvér bol tiež schopný prekaziť nástroje, ako je antivírus, ktorý ho dokázal odhaliť.

Kde vstupuje Rusko?

Bossert vo svojom stanovisku pre NYT vymenoval Rusko a jeho agentúru SVR, ktorá má schopnosti vykonať útok takej dômyselnosti a rozsahu.

Microsoft vo svojom blogu poznamenáva, že tento aspekt útoku vytvoril zraniteľnosť dodávateľského reťazca takmer globálneho významu, ktorá zasiahla mnohé hlavné národné mestá mimo Ruska. Ďalej dodáva, že sofistikované útoky z Ruska sa stali bežnými.

FireEye však zatiaľ neoznačil za zodpovedného Rusko a uviedol, že prebieha vyšetrovanie s FBI, Microsoftom a ďalšími kľúčovými partnermi, ktorí nie sú menovaní.

Čo povedal SolarWinds a vláda USA o hacke?

SolarWinds práve teraz odporúča všetkým zákazníkom, aby okamžite aktualizovali existujúcu platformu Orion, ktorá má pre tento malvér záplatu. Ak sa v prostredí zistí aktivita útočníka, odporúčame vykonať komplexné vyšetrovanie a navrhnúť a vykonať stratégiu nápravy riadenej nálezmi vyšetrovania a podrobnosťami o ovplyvnenom prostredí, uviedla spoločnosť.

Tým, ktorí sa nedokážu aktualizovať, sa povie, aby izolovali servery SolarWinds a malo by to zahŕňať blokovanie všetkých internetových výstupov zo serverov SolarWinds. Minimálnym návrhom je zmena hesiel pre účty, ktoré majú prístup k serverom / infraštruktúre SolarWinds.

Americká agentúra pre kybernetickú bezpečnosť a bezpečnosť infraštruktúry (CISA) vydala mimoriadnu smernicu 21-01, v ktorej žiada všetky federálne civilné agentúry, aby preverili svoje siete, aby sa zistili indikátory kompromisu. Požiadal ich, aby okamžite odpojili alebo vypli produkty SolarWinds Orion.

FBI, CISA a kancelária riaditeľa národnej spravodajskej služby vydali spoločné vyhlásenie a oznámili to, čo sa nazýva „Cyber ​​Unified Coordination Group (UCG) s cieľom koordinovať reakciu vlády na krízu. Vo vyhlásení sa to nazýva významná a prebiehajúca kampaň kybernetickej bezpečnosti.

Biely dom a prezident Donald Trump mlčia. Senátor Mitt Romney to najlepšie zhrnul vo svojich komentároch novinárovi Olivierovi Knoxovi z rádia SiriusXM, kde tento útok prirovnal k ekvivalentu ruských bombardérov, ktoré nepozorovane lietali po celej krajine a odhaľovali slabosť kybernetického boja v USA. Povedal, že ticho a nečinnosť Bieleho domu sú neospravedlniteľné.

Senátor Richard Blumenthal, demokrat, na Twitteri napísal: Ruský kybernetický útok ma hlboko znepokojil, v skutočnosti priam vystrašil.

Novozvolený prezident Joe Biden vo vyhlásení uviedol: Dobrá obrana nestačí; V prvom rade musíme narušiť a odradiť našich protivníkov od podniknutia významných kybernetických útokov.

Zdieľajte So Svojimi Priateľmi: