Objašnjeno: Masivan cyber napad u SAD-u, korištenjem novog skupa alata

Jedan od najvećih kibernetičkih napada koji su ciljali američke vladine agencije i privatne tvrtke, 'SolarWinds hack' smatra se vjerojatnim globalnim naporom. Kako je to provedeno i koji su podaci kompromitirani? Zašto su dužnosnici i političari američke vlade nazvali Rusiju?

Cilj cyber napada bio je Orion, softver koji je isporučila tvrtka SolarWinds. (Fotografija Reutersa)

'SolarWinds hack', kibernetički napad nedavno otkriven u Sjedinjenim Državama, pojavio se kao jedan od najveći ikad usmjerena protiv američke vlade, njezinih agencija i nekoliko drugih privatnih tvrtki. Zapravo, vjerojatno je riječ o globalnom cyber napadu.

Prvo ga je otkrila američka tvrtka za kibernetičku sigurnost FireEye, a od tada se svakim danom otkriva sve veći razvoj događaja. Sam razmjer cyber-napada ostaje nepoznat, iako se vjeruje da su pogođeni američko Ministarstvo financija, Ministarstvo domovinske sigurnosti, Ministarstvo trgovine, dijelovi Pentagona.

U jednom mišljenje napisano za New York Times , Thomas P Bossert, koji je bio savjetnik za domovinsku sigurnost predsjednika Donalda Trumpa, prozvao je Rusiju za napad. Napisao je dokaze u napadima SolarWindsa koji upućuju na rusku obavještajnu agenciju poznatu kao SVR, čija je obrt među najnaprednijima na svijetu. Kremlj je zanijekao svoju umiješanost.

Dakle, što je to 'SolarWinds hack'?

Vijest o cyber napadu tehnički je prvi put objavljena 8. prosinca, kada je FireEye objavio blog otkrivajući napad na svoje sustave. Tvrtka pomaže u upravljanju sigurnošću nekoliko velikih privatnih tvrtki i saveznih vladinih agencija.

Izvršni direktor FireEyea Kevin Mandia napisao je na blogu rekavši da je tvrtku napao vrlo sofisticirani akter prijetnji, nazivajući to napadom koji je sponzorirala država, iako nije imenovao Rusiju. Rečeno je da je napad izvela nacija s vrhunskim ofenzivnim sposobnostima, a napadač je prvenstveno tražio informacije vezane uz određene vladine klijente. Također se navodi da su metode koje su koristili napadači nove.

Zatim je 13. prosinca FireEye rekao da cybernapad, koji je nazvao Campaign UNC2452, nije bio ograničen na tvrtku, već je ciljao razne javne i privatne organizacije diljem svijeta. Kampanja je vjerojatno započela u ožujku 2020. i traje već mjesecima, stoji u objavi. Što je još gore, opseg ukradenih ili kompromitiranih podataka još uvijek nije poznat, s obzirom da se razmjeri napada još uvijek otkrivaju. Nakon što su sustavi bili ugroženi, došlo je do bočnog pomicanja i krađe podataka.

Kako je napadnuto toliko američkih vladinih agencija i tvrtki?

Ovo se naziva napadom lanca opskrbe: umjesto izravnog napada na saveznu vladu ili mrežu privatne organizacije, hakeri ciljaju dobavljača treće strane, koji im isporučuje softver. U ovom slučaju, meta je bio softver za IT upravljanje pod nazivom Orion, koji je isporučila tvrtka SolarWinds sa sjedištem u Teksasu.

Orion je bio dominantan softver tvrtke SolarWinds s klijentima, koji uključuju preko 33.000 tvrtki. SolarWinds kaže da je pogođeno 18.000 njegovih klijenata. Inače, tvrtka je izbrisala popis klijenata sa svojih službenih stranica.

Prema stranici, koja je također izbrisana iz Googleovih web arhiva, popis uključuje 425 tvrtki na Fortune 500, 10 najboljih telekom operatera u SAD-u. U izvješću New York Timesa navodi se da su pogođeni dijelovi Pentagona, centara za kontrolu i prevenciju bolesti, State Departmenta, Ministarstva pravosuđa i drugih.

Microsoft je potvrdio da je pronašao dokaze o zlonamjernom softveru na njihovim sustavima, iako je dodao da nema dokaza o pristupu proizvodnim uslugama ili korisničkim podacima ili da su njegovi sustavi korišteni za napad na druge. Predsjednik Microsofta Brad Smith rekao je da je tvrtka počela obavještavati više od 40 kupaca da su napadači preciznije ciljali i kompromitirali.

U izvješću Reutersa stoji da su čak i e-poruke koje su slali dužnosnici Ministarstva domovinske sigurnosti nadzirali hakeri.

Kako su dobili pristup?

Prema FireEyeu, hakeri su dobili pristup žrtvama putem trojaniziranih ažuriranja SolarWinds-ovog Orion IT softvera za praćenje i upravljanje. Uglavnom, softversko ažuriranje iskorišteno je za instaliranje zlonamjernog softvera 'Sunburst' u Orion, koji je potom instaliralo više od 17.000 kupaca.

FireEye kaže da su se napadači oslanjali na više tehnika kako bi izbjegli da budu otkriveni i prikrili svoju aktivnost. Zlonamjerni softver mogao je pristupiti sistemskim datotekama. Ono što je išlo u prilog zlonamjernom softveru bilo je to što se uspio uklopiti s legitimnom aktivnošću SolarWindsa, prema FireEyeu.

Jednom instaliran, zlonamjerni softver je hakerima omogućio ulaz u sustave i mreže SolarWindsovih kupaca. Što je još važnije, zlonamjerni softver također je mogao spriječiti alate poput antivirusa koji su ga mogli otkriti.

Gdje ulazi Rusija?

U svom članku mišljenja na NYT-u, Bossert je nazvao Rusiju i njezinu agenciju SVR, koja ima sposobnosti izvesti napad takve domišljatosti i razmjera.

Microsoft na svom blogu bilježi da je ovaj aspekt napada stvorio ranjivost lanca opskrbe od gotovo globalne važnosti, dosegnuvši mnoge glavne nacionalne prijestolnice izvan Rusije. Dalje se dodaje da su sofisticirani napadi iz Rusije postali uobičajeni.

FireEye, međutim, još nije imenovao Rusiju kao odgovornu i rekao je da je u tijeku istraga s FBI-jem, Microsoftom i drugim ključnim partnerima koji nisu imenovani.

Što su SolarWinds i američka vlada rekli o hakiranju?

Upravo sada, SolarWinds preporuča svim korisnicima da odmah ažuriraju postojeću Orion platformu, koja ima zakrpu za ovaj zlonamjerni softver. Ako se otkrije aktivnost napadača u okruženju, preporučujemo provođenje sveobuhvatne istrage te osmišljavanje i provedbu strategije sanacije potaknute istražnim nalazima i detaljima pogođenog okoliša, stoji u priopćenju.

Onima koji se ne mogu ažurirati rečeno je da izoliraju SolarWinds poslužitelje i to bi trebalo uključivati ​​blokiranje svih izlaza na Internet sa SolarWinds poslužitelja. Najmanji prijedlog je promjena lozinki za račune koji imaju pristup SolarWinds poslužiteljima/infrastrukturi.

Američka agencija za kibernetičku sigurnost i sigurnost infrastrukture (CISA) izdala je hitnu direktivu 21-01, tražeći od svih saveznih civilnih agencija da pregledaju svoje mreže u potrazi za pokazateljima kompromisa. Zamolio ih je da odmah isključe ili isključe SolarWinds Orion proizvode.

FBI, CISA i ured ravnatelja nacionalne obavještajne službe izdali su zajedničko priopćenje i objavili ono što se naziva 'Cyber ​​Unified Coordination Group (UCG) kako bi koordinirali vladin odgovor na krizu. U izjavi se ovo naziva značajnom i kontinuiranom kampanjom kibernetičke sigurnosti.

Bijela kuća i predsjednik Donald Trump šutjeli su. Senator Mitt Romney to je najbolje sažeo u svojim komentarima novinaru Oliviera Knoxa s radija SiriusXM, gdje je ovaj napad usporedio s ekvivalentom ruskih bombardera koji neotkriveni lete diljem zemlje i razotkrivaju slabost SAD-a u kibernetskom ratu. Rekao je da je šutnja i nerad Bijele kuće neoprostivi.

Senator Richard Blumenthal, demokrat, tvitao je: ruski cyber-napad ostavio me duboko uznemiren, zapravo potpuno uplašen.

Novoizabrani predsjednik Joe Biden rekao je u izjavi: Dobra obrana nije dovoljna; Moramo prije svega poremetiti i odvratiti naše protivnike od poduzimanja značajnih cyber napada.

Podijelite Sa Svojim Prijateljima: