Pojasnjeno: ogromen kibernetski napad v ZDA z uporabo novega nabora orodij

Eden največjih kibernetskih napadov, ki so bili usmerjeni na ameriške vladne agencije in zasebna podjetja, se 'vdor SolarWinds' obravnava kot verjetno globalno prizadevanje. Kako je bila izvedena in kakšni podatki so bili ogroženi? Zakaj so ameriški vladni uradniki in politiki poimenovali Rusijo?

Cilj kibernetskega napada je bil Orion, programska oprema, ki jo je dobavilo podjetje SolarWinds. (Foto Reuters)

'SolarWinds hack', kibernetski napad, ki so ga nedavno odkrili v Združenih državah, se je pojavil kot eden izmed največji doslej usmerjeno proti vladi ZDA, njenim agencijam in številnim drugim zasebnim podjetjem. Pravzaprav gre verjetno za globalni kibernetski napad.

Najprej ga je odkrilo ameriško podjetje za kibernetsko varnost FireEye, od takrat pa vsak dan prihaja na dan več dogodkov. Sam obseg kibernetskega napada ostaja neznan, čeprav se domneva, da so bili prizadeti ministrstvo za finance ZDA, ministrstvo za domovinsko varnost, ministrstvo za trgovino in deli Pentagona.

V mnenje napisano za The New York Times Thomas P Bossert, svetovalec predsednika Donalda Trumpa za domovinsko varnost, je za napad imenoval Rusijo. Napisal je dokaze o napadih SolarWinds, ki kažejo na rusko obveščevalno agencijo, znano kot SVR, katere obrt je med najnaprednejšimi na svetu. Kremelj je svojo vpletenost zanikal.

Torej, kaj je ta 'SolarWinds hack'?

Novica o kibernetskem napadu se je tehnično prvič pojavila 8. decembra, ko je FireEye objavil blog, v katerem je zaznal napad na svoje sisteme. Podjetje pomaga pri upravljanju varnosti več velikih zasebnih podjetij in zveznih vladnih agencij.

Izvršni direktor FireEye Kevin Mandia je v objavi na blogu zapisal, da je podjetje napadel zelo izpopolnjen akter groženj, ki ga je označil za napad, ki ga sponzorira država, čeprav ni navedel Rusije. Povedalo je, da je napad izvedla država z vrhunskimi ofenzivnimi zmogljivostmi, napadalec pa je predvsem iskal informacije, povezane z nekaterimi vladnimi strankami. Prav tako je dejal, da so metode, ki so jih uporabljali napadalci, nove.

Nato je 13. decembra FireEye dejal, da kibernetski napad, ki ga je poimenoval Campaign UNC2452, ni bil omejen na podjetje, ampak je bil usmerjen na različne javne in zasebne organizacije po vsem svetu. Kampanja se je verjetno začela marca 2020 in traja že več mesecev, je zapisano v objavi. Še huje, obseg ukradenih ali ogroženih podatkov še vedno ni znan, saj se obseg napada še vedno odkriva. Ko so bili sistemi ogroženi, je prišlo do bočnega premika in kraje podatkov.

Kako je bilo napadenih toliko ameriških vladnih agencij in podjetij?

Temu pravimo napad 'oskrbovalne verige': namesto da bi neposredno napadali zvezno vlado ali omrežje zasebne organizacije, hekerji ciljajo na zunanjega prodajalca, ki jim dobavlja programsko opremo. V tem primeru je bila tarča programska oprema za upravljanje IT Orion, ki jo je dobavilo podjetje SolarWinds s sedežem v Teksasu.

Orion je bil prevladujoča programska oprema SolarWinds s strankami, ki vključujejo več kot 33.000 podjetij. SolarWinds pravi, da je prizadetih 18.000 njegovih strank. Mimogrede, podjetje je seznam strank izbrisalo s svojih uradnih spletnih strani.

Glede na stran, ki je bila prav tako odstranjena iz Googlovega spletnega arhiva, seznam vključuje 425 podjetij na Fortune 500, 10 najboljših telekomunikacijskih operaterjev v ZDA. Poročilo New York Timesa pravi, da so bili prizadeti deli Pentagona, Centri za nadzor in preprečevanje bolezni, State Department, Ministrstvo za pravosodje in drugi.

Microsoft je potrdil, da je našel dokaze o zlonamerni programski opremi v njihovih sistemih, čeprav je dodal, da ni bilo dokazov o dostopu do proizvodnih storitev ali podatkov o strankah ali da so bili njegovi sistemi uporabljeni za napad na druge. Predsednik Microsofta Brad Smith je dejal, da je podjetje začelo obveščati več kot 40 strank, da so napadalci bolj natančno ciljali in ogrožali.

Poročilo Reutersa pravi, da so hekerji spremljali celo e-pošto, ki so jo poslali uradniki Ministrstva za domovinsko varnost.

Kako so dobili dostop?

Po navedbah FireEye so hekerji pridobili dostop do žrtev prek trojaniziranih posodobitev programske opreme za spremljanje in upravljanje IT podjetja SolarWinds Orion. V bistvu je bila posodobitev programske opreme izkoriščena za namestitev zlonamerne programske opreme 'Sunburst' v Orion, ki jo je nato namestilo več kot 17.000 strank.

FireEye pravi, da so se napadalci zanašali na več tehnik, da bi se izognili odkritju in prikrili svojo dejavnost. Zlonamerna programska oprema je lahko dostopala do sistemskih datotek. Kar je delovalo v prid zlonamerne programske opreme, je bilo, da se je po FireEyeu uspelo združiti z zakonito dejavnostjo SolarWinds.

Ko je bila zlonamerna programska oprema nameščena, je hekerjem omogočila vhod iz zakulisja v sisteme in omrežja strank SolarWinds. Še pomembneje je, da je zlonamerna programska oprema lahko preprečila tudi orodja, kot je protivirusni program, ki bi jo lahko zaznal.

Kam vstopi Rusija?

Bossert je v svojem mnenjskem članku na NYT poimenoval Rusijo in njeno agencijo SVR, ki ima zmožnosti, da izvede napad takšne iznajdljivosti in obsega.

Microsoft v svojem blogu ugotavlja, da je ta vidik napada ustvaril ranljivost dobavne verige skoraj svetovnega pomena, ki je dosegla številne glavne nacionalne prestolnice zunaj Rusije. Nadalje dodaja, da so prefinjeni napadi iz Rusije postali pogosti.

FireEye pa še ni imenoval Rusije kot odgovorne in je dejal, da poteka preiskava s FBI, Microsoftom in drugimi ključnimi partnerji, ki niso imenovani.

Kaj sta SolarWinds in ameriška vlada povedala o vdoru?

Trenutno SolarWinds vsem strankam priporoča, da takoj posodobijo obstoječo platformo Orion, ki ima popravek za to zlonamerno programsko opremo. Če je v okolju odkrita napadalska dejavnost, priporočamo izvedbo obsežne preiskave ter oblikovanje in izvedbo sanacijske strategije, ki temelji na ugotovitvah preiskave in podrobnostih prizadetega okolja, so zapisali.

Tistim, ki ne morejo posodobiti, je rečeno, naj izolirajo strežnike SolarWinds, to pa mora vključevati blokiranje vseh internetnih izstopov iz strežnikov SolarWinds. Najmanjši predlog je sprememba gesel za račune, ki imajo dostop do strežnikov / infrastrukture SolarWinds.

Ameriška agencija za kibernetsko in infrastrukturno varnost (CISA) je izdala direktivo o izrednih razmerah 21-01, v kateri od vseh zveznih civilnih agencij zahteva, da pregledajo svoja omrežja glede kazalnikov kompromisa. Prosil jih je, naj takoj izklopijo ali izklopijo izdelke SolarWinds Orion.

FBI, CISA in urad direktorja nacionalne obveščevalne službe so izdali skupno izjavo in napovedali tako imenovano 'Cyber ​​Unified Coordination Group (UCG), da bi uskladili odziv vlade na krizo. Izjava to imenuje pomembna in stalna kampanja za kibernetsko varnost.

Bela hiša in predsednik Donald Trump sta molčala. Senator Mitt Romney je to najbolje povzel v svojih komentarjih novinarju Olivierju Knoxu z radia SiriusXM, kjer je ta napad primerjal z ekvivalentom ruskih bombnikov, ki letijo neopaženo po vsej državi in ​​razkrivajo šibkost ZDA v kibernetskem vojskovanju. Dejal je, da sta molk in neukrepanje Bele hiše neopravičljiva.

Senator Richard Blumenthal, demokrat, je tvitnil: ruski kibernetski napad me je pustil globoko zaskrbljen, pravzaprav naravnost prestrašen.

Novoizvoljeni predsednik Joe Biden je v izjavi dejal: Dobra obramba ni dovolj; Najprej moramo motiti in odvrniti naše nasprotnike od pomembnih kibernetskih napadov.

Delite S Prijatelji: