Uitgelegd: een massale cyberaanval in de VS, met behulp van een nieuwe set tools

De 'SolarWinds-hack', een van de grootste cyberaanvallen die gericht was op Amerikaanse overheidsinstanties en particuliere bedrijven, wordt gezien als een waarschijnlijke wereldwijde inspanning. Hoe werd het uitgevoerd en wat voor soort gegevens zijn gecompromitteerd? Waarom hebben Amerikaanse regeringsfunctionarissen en politici Rusland genoemd?

Het doelwit van de cyberaanval was Orion, een software van het bedrijf SolarWinds. (Reuters-foto)

De ‘SolarWinds-hack’, een cyberaanval die onlangs in de Verenigde Staten is ontdekt, is naar voren gekomen als een van de grootste ooit gericht tegen de Amerikaanse regering, haar agentschappen en verschillende andere particuliere bedrijven. In feite is het waarschijnlijk een wereldwijde cyberaanval.

Het werd voor het eerst ontdekt door het Amerikaanse cyberbeveiligingsbedrijf FireEye en sindsdien komen er elke dag meer ontwikkelingen aan het licht. De omvang van de cyberaanval blijft onbekend, hoewel wordt aangenomen dat het Amerikaanse ministerie van Financiën, het ministerie van Binnenlandse Veiligheid, het ministerie van Handel en delen van het Pentagon allemaal zijn getroffen.

hoe oud is jack hanna

in een opiniestuk geschreven voor The New York Times , Thomas P. Bossert, die adviseur voor binnenlandse veiligheid was voor president Donald Trump, heeft Rusland genoemd voor de aanval. Hij schreef bewijsmateriaal in de SolarWinds-aanvalspunten naar de Russische inlichtingendienst die bekend staat als de SVR, wiens ambacht tot de meest geavanceerde ter wereld behoort. Het Kremlin heeft zijn betrokkenheid ontkend.

Dus, wat is deze 'SolarWinds-hack'?

Het nieuws over de cyberaanval brak technisch voor het eerst op 8 december, toen FireEye een blog uitbracht waarin een aanval op zijn systemen werd gedetecteerd. Het bedrijf helpt bij het beveiligingsbeheer van verschillende grote particuliere bedrijven en federale overheidsinstanties.

Kevin Mandia, CEO van FireEye, schreef in een blogpost dat het bedrijf werd aangevallen door een zeer geavanceerde dreigingsactor, en noemde het een door de staat gesponsorde aanval, hoewel Rusland geen naam noemde. Het zei dat de aanval werd uitgevoerd door een land met offensieve capaciteiten van het hoogste niveau, en de aanvaller zocht voornamelijk informatie over bepaalde overheidsklanten. Het zei ook dat de methoden die door de aanvallers werden gebruikt, nieuw waren.

Toen zei FireEye op 13 december dat de cyberaanval, die het Campagne UNC2452 noemde, niet beperkt was tot het bedrijf, maar zich had gericht op verschillende openbare en particuliere organisaties over de hele wereld. De campagne begon waarschijnlijk in maart 2020 en is al maanden aan de gang, aldus de post. Erger nog, de omvang van de gestolen of gecompromitteerde gegevens is nog onbekend, aangezien de omvang van de aanval nog steeds wordt ontdekt. Nadat systemen waren gecompromitteerd, vonden zijdelingse bewegingen en gegevensdiefstal plaats.

Hoe zijn zoveel Amerikaanse overheidsinstanties en bedrijven aangevallen?

Dit wordt een 'Supply Chain'-aanval genoemd: in plaats van rechtstreeks de federale overheid of het netwerk van een particuliere organisatie aan te vallen, richten de hackers zich op een externe leverancier, die hen software levert. In dit geval was het doelwit een IT-beheersoftware genaamd Orion, geleverd door het in Texas gevestigde bedrijf SolarWinds.

Orion is een dominante software van SolarWinds geweest met klanten, waaronder meer dan 33.000 bedrijven. SolarWinds zegt dat 18.000 van zijn klanten zijn getroffen. Overigens heeft het bedrijf de lijst met klanten van zijn officiële websites verwijderd.

Volgens de pagina, die ook uit het webarchief van Google is geschrobd, bevat de lijst 425 bedrijven in de Fortune 500, de top 10 telecomoperators in de VS. Volgens een New York Times-rapport werden delen van het Pentagon, de Centers for Disease Control and Prevention, het State Department, het ministerie van Justitie en anderen allemaal getroffen.

Microsoft bevestigde dat het bewijs van de malware op hun systemen heeft gevonden, hoewel het voegde toe dat er geen bewijs was van toegang tot productieservices of klantgegevens, of dat zijn systemen werden gebruikt om anderen aan te vallen. Microsoft-president Brad Smith zei dat het bedrijf is begonnen met het informeren van meer dan 40 klanten dat de aanvallers nauwkeuriger en gecompromitteerd waren.

Een Reuters-rapport zei dat zelfs e-mails die werden verzonden door functionarissen van het Department of Homeland Security door de hackers werden gecontroleerd.

Hoe hebben ze toegang gekregen?

Volgens FireEye kregen de hackers toegang tot slachtoffers via getrojaniseerde updates van de Orion IT-bewakings- en beheersoftware van SolarWinds. Kortom, er werd gebruik gemaakt van een software-update om de 'Sunburst'-malware in Orion te installeren, die vervolgens door meer dan 17.000 klanten werd geïnstalleerd.

FireEye zegt dat de aanvallers op meerdere technieken vertrouwden om te voorkomen dat ze werden gedetecteerd en om hun activiteiten te verdoezelen. De malware had toegang tot de systeembestanden. Wat in het voordeel van de malware werkte, was dat het volgens FireEye kon opgaan in legitieme SolarWinds-activiteiten.

Eenmaal geïnstalleerd, gaf de malware een achterdeur toegang tot de systemen en netwerken van klanten van SolarWinds. Wat nog belangrijker is, de malware was ook in staat om tools zoals antivirusprogramma's die het konden detecteren, te dwarsbomen.

Waar komt Rusland binnen?

In zijn NYT-opinieartikel noemde Bossert Rusland en zijn bureau SVR, dat de capaciteiten heeft om de aanval van een dergelijke vindingrijkheid en schaal uit te voeren.

Microsoft merkt in zijn blog op dat dit aspect van de aanval een kwetsbaarheid in de toeleveringsketen van bijna mondiaal belang heeft veroorzaakt en vele grote nationale hoofdsteden buiten Rusland heeft bereikt. Het voegt eraan toe dat geavanceerde aanvallen vanuit Rusland gemeengoed zijn geworden.

FireEye heeft Rusland echter nog niet als verantwoordelijke aangewezen en zei dat het een lopend onderzoek is met de FBI, Microsoft en andere belangrijke partners die niet bij naam zijn genoemd.

het nettowaarde van Andrew Luck

Wat hebben SolarWinds en de Amerikaanse regering gezegd over de hack?

Op dit moment raadt SolarWinds alle klanten aan om het bestaande Orion-platform, dat een patch voor deze malware heeft, onmiddellijk bij te werken. Als aanvallersactiviteit wordt ontdekt in een omgeving, raden we aan om een ​​uitgebreid onderzoek uit te voeren en een herstelstrategie te ontwerpen en uit te voeren op basis van de onderzoeksresultaten en details van de getroffen omgeving, aldus het bedrijf.

Degenen die niet kunnen updaten, krijgen te horen dat ze de SolarWinds-servers moeten isoleren en dat alle uitgaande internettoegang van de SolarWinds-servers moet worden geblokkeerd. De absolute minimumsuggestie is het wijzigen van wachtwoorden voor accounts die toegang hebben tot SolarWinds-servers / infrastructuur.

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft een noodrichtlijn 21-01 uitgevaardigd, waarin alle federale civiele instanties worden gevraagd hun netwerken te controleren op indicatoren van compromis. Het heeft hen gevraagd om SolarWinds Orion-producten onmiddellijk los te koppelen of uit te schakelen.

De FBI, CISA en het kantoor van de directeur van de nationale inlichtingendienst hebben een gezamenlijke verklaring afgegeven en aangekondigd wat de 'Cyber ​​Unified Coordination Group (UCG) wordt genoemd om de reactie van de regering op de crisis te coördineren. De verklaring noemt dit een significante en voortdurende cyberbeveiligingscampagne.

Het Witte Huis en president Donald Trump hebben gezwegen. Senator Mitt Romney heeft het het beste samengevat in zijn opmerkingen aan journalist Olivier Knox van SiriusXM-radio, waar hij deze aanval vergeleek met het equivalent van Russische bommenwerpers die onopgemerkt door het hele land vliegen en de zwakte van de VS op het gebied van cyberoorlogvoering blootleggen. Hij zei dat de stilte en passiviteit van het Witte Huis onvergeeflijk was.

Senator Richard Blumenthal, een democraat, tweette: De cyberaanval van Rusland heeft me diep gealarmeerd, in feite ronduit bang gemaakt.

Gekozen president Joe Biden zei in een verklaring: een goede verdediging is niet genoeg; We moeten onze tegenstanders in de eerste plaats verstoren en afschrikken om significante cyberaanvallen uit te voeren.

Deel Het Met Je Vrienden: