Forklart: Et massivt nettangrep i USA, ved bruk av et nytt sett med verktøy

En av de største cyberangrepene som har vært rettet mot amerikanske myndigheter og private selskaper, 'SolarWinds-hacket' blir sett på som en sannsynlig global innsats. Hvordan ble det utført, og hva slags data har blitt kompromittert? Hvorfor har amerikanske myndighetspersoner og politikere kalt Russland?

Målet for nettangrepet var Orion, en programvare levert av selskapet SolarWinds. (Reuters bilde)

«SolarWinds-hacket», et nettangrep nylig oppdaget i USA, har dukket opp som et av den største noensinne rettet mot amerikanske myndigheter, dens byråer og flere andre private selskaper. Faktisk er det sannsynligvis et globalt nettangrep.

Det ble først oppdaget av det amerikanske cybersikkerhetsselskapet FireEye, og siden den gang fortsetter det å komme frem flere utviklinger hver dag. Omfanget av cyberangrepet er fortsatt ukjent, selv om det amerikanske finansdepartementet, Department of Homeland Security, Department of Commerce, deler av Pentagon alle antas å ha blitt påvirket.

jackie zeman plastisk kirurgi

I en meningsinnlegg skrevet for New York Times , Thomas P Bossert, som var hjemmelandssikkerhetsrådgiver for president Donald Trump, har utpekt Russland for angrepet. Han skrev bevis i SolarWinds-angrepet peker på det russiske etterretningsbyrået kjent som SVR, hvis håndverk er blant de mest avanserte i verden. Kreml har benektet sitt engasjement.

Så, hva er dette 'SolarWinds-hacket'?

Nyhetene om nettangrepet kom teknisk sett først 8. desember, da FireEye la ut en blogg som oppdaget et angrep på systemene deres. Firmaet hjelper med sikkerhetsstyring av flere store private selskaper og føderale myndigheter.

FireEye-sjef Kevin Mandia skrev i et blogginnlegg og sa at selskapet ble angrepet av en svært sofistikert trusselaktør, og kalte det et statsstøttet angrep, selv om det ikke navnga Russland. Den sa at angrepet ble utført av en nasjon med offensive evner på toppnivå, og angriperen søkte først og fremst informasjon relatert til visse offentlige kunder. Den sa også at metodene som ble brukt av angriperne var nye.

Den 13. desember sa FireEye at nettangrep, som det kalte Campaign UNC2452, ikke var begrenset til selskapet, men hadde rettet mot ulike offentlige og private organisasjoner rundt om i verden. Kampanjen startet sannsynligvis i mars 2020 og har pågått i flere måneder, heter det i innlegget. Verre er at omfanget av data stjålet eller kompromittert er fortsatt ukjent, gitt omfanget av angrepet er fortsatt under oppdagelse. Etter at systemene ble kompromittert, skjedde sideveis bevegelse og datatyveri.

Hvordan ble så mange amerikanske offentlige etater og selskaper angrepet?

Dette blir kalt et «Supply Chain»-angrep: I stedet for å direkte angripe den føderale regjeringen eller en privat organisasjons nettverk, retter hackerne seg mot en tredjepartsleverandør, som leverer programvare til dem. I dette tilfellet var målet en IT-administrasjonsprogramvare kalt Orion, levert av det Texas-baserte selskapet SolarWinds.

Orion har vært en dominerende programvare fra SolarWinds med kunder, som inkluderer over 33 000 selskaper. SolarWinds sier at 18 000 av kundene har blitt påvirket. For øvrig har selskapet slettet listen over klienter fra sine offisielle nettsider.

I følge siden, som også har blitt skrubbet fra Googles nettarkiv, inkluderer listen 425 selskaper i Fortune 500, de 10 beste telekomoperatørene i USA. En rapport fra New York Times sa at deler av Pentagon, Centers for Disease Control and Prevention, Utenriksdepartementet, Justisdepartementet og andre ble alle berørt.

Microsoft bekreftet at de har funnet bevis for skadelig programvare på systemene deres, selv om de la til at det ikke var bevis for tilgang til produksjonstjenester eller kundedata, eller at systemene ble brukt til å angripe andre. Microsofts president Brad Smith sa at selskapet har begynt å varsle mer enn 40 kunder om at angriperne siktet mer presist og kompromitterte.

En Reuters-rapport sa at selv e-poster sendt av Department of Homeland Security-tjenestemenn ble overvåket av hackerne.

Hvordan fikk de tilgang?

Ifølge FireEye fikk hackerne tilgang til ofrene via trojaniserte oppdateringer til SolarWinds’ Orion IT-overvåkings- og administrasjonsprogramvare. I utgangspunktet ble en programvareoppdatering utnyttet for å installere skadelig programvare «Sunburst» i Orion, som deretter ble installert av mer enn 17 000 kunder.

FireEye sier at angriperne stolte på flere teknikker for å unngå å bli oppdaget og skjule aktiviteten deres. Skadevaren var i stand til å få tilgang til systemfilene. Det som fungerte til fordel for skadevare var at den var i stand til å blande seg med legitim SolarWinds-aktivitet, ifølge FireEye.

Når den først var installert, ga den skadelige programvaren en bakdør-inngang til hackerne til systemene og nettverkene til SolarWinds kunder. Enda viktigere, skadevare var også i stand til å hindre verktøy som antivirus som kunne oppdage det.

Hvor kommer Russland inn?

I sin NYT-meningsartikkel kalte Bossert Russland og dets byrå SVR, som har evnene til å utføre angrepet av en slik oppfinnsomhet og skala.

Microsoft bemerker i bloggen sin at dette aspektet av angrepet skapte en sårbarhet i forsyningskjeden av nesten global betydning, og nådde mange store nasjonale hovedsteder utenfor Russland. Den legger til at sofistikerte angrep fra Russland har blitt vanlig.

FireEye har imidlertid ennå ikke utpekt Russland som ansvarlig og sa at det er en pågående etterforskning med FBI, Microsoft og andre nøkkelpartnere som ikke er navngitt.

andrew av nettoverdi

Hva har SolarWinds og den amerikanske regjeringen sagt om hacket?

Akkurat nå anbefaler SolarWinds at alle kunder umiddelbart oppdaterer den eksisterende Orion-plattformen, som har en oppdatering for denne skadevare. Hvis angriperaktivitet oppdages i et miljø, anbefaler vi å gjennomføre en omfattende etterforskning og utforme og utføre en utbedringsstrategi drevet av etterforskningsfunnene og detaljene i det påvirkede miljøet, heter det.

De som ikke kan oppdatere får beskjed om å isolere SolarWinds-servere, og det bør inkludere blokkering av all Internett-utgang fra SolarWinds-servere. Minimumsforslaget er endring av passord for kontoer som har tilgang til SolarWinds servere / infrastruktur.

US Cybersecurity and Infrastructure Security Agency (CISA) har utstedt et nøddirektiv 21-01, som ber alle føderale sivile byråer om å gjennomgå nettverkene deres for indikatorer på kompromiss. Den har bedt dem om å koble fra eller slå av SolarWinds Orion-produkter umiddelbart.

FBI, CISA og kontoret til direktøren for nasjonal etterretning ga en felles uttalelse, og kunngjorde det som kalles 'Cyber ​​Unified Coordination Group (UCG) for å koordinere regjeringens reaksjon på krisen. Uttalelsen kaller dette en betydelig og pågående cybersikkerhetskampanje.

Det hvite hus og president Donald Trump har vært tause. Senator Mitt Romney har oppsummert det best i sine kommentarer til journalisten Olivier Knox fra SiriusXM radio, der han sammenlignet dette angrepet med tilsvarende russiske bombefly som flyr uoppdaget over hele landet og avslører USAs cyberkrigføringssvakhet. Han sa at stillheten og passiviteten fra Det hvite hus var utilgivelig.

Senator Richard Blumenthal, en demokrat, twitret: Russlands nettangrep gjorde meg dypt skremt, faktisk rett og slett redd.

Påtroppende president Joe Biden sa i en uttalelse: Et godt forsvar er ikke nok; Vi må forstyrre og avskrekke motstanderne våre fra å utføre betydelige cyberangrep i utgangspunktet.

Del Med Vennene Dine: