Jak chiński atak na Microsoft przerodził się w lekkomyślny szał hakerski

Demetrius Freeman-Pool/Getty Images

Początkowo chińscy hakerzy prowadzili ostrożną kampanię. Przez dwa miesiące wykorzystywali słabości serwerów pocztowych Microsoft Exchange, starannie wybierali swoje cele i potajemnie kradli całe skrzynki pocztowe. Kiedy śledczy w końcu się zorientowali, wyglądało to jak typowe szpiegostwo internetowe – ale potem sprawy przyspieszyły dramatycznie.

Około 26 lutego wąska operacja przekształciła się w coś znacznie większego i dużo bardziej chaotyczny. Zaledwie kilka dni później Microsoft publicznie ujawnił hacki — hakerzy są teraz znani jako Hafnium — i wydał poprawkę bezpieczeństwa. Ale do tego czasu napastnicy szukali celów w całym Internecie: oprócz dziesiątek tysięcy zgłoszone ofiary w USA, rządy na całym świecie ogłaszanie że oni też zostali skompromitowani. Obecnie co najmniej 10 grup hakerskich, w większości wspieranych przez rządy zespołów cyberszpiegowskich, wykorzystuje luki w zabezpieczeniach tysięcy serwerów w ponad 115 krajach. odnośnie do firmy ochroniarskiej ESET.

Powiązana historia

Jak zaufanie do danych może chronić prywatność

Nie możemy oczekiwać, że ludzie będą samodzielnie poruszać się po zagmatwanym świecie zbierania danych. Czas połączyć siły.

Podczas gdy prezydent Joe Biden kontempluje odwet niezgodne z Rosyjscy hakerzy, których atak na inną firmę programistyczną, SolarWinds , upubliczniono w grudniu, hakerstwo hafnu stało się olbrzymim, wolnym dla wszystkich, a jego konsekwencje mogą być jeszcze gorsze. Gdy eksperci biegną, aby zamknąć luki powstałe w wyniku chińskiego hakowania, urzędnicy twierdzą, że rząd amerykański koncentruje się ściśle na tym, co dzieje się z tysiącami nowo podatnych na ataki serwerów – i na sposobach reagowania na Chiny.

Bramy są szeroko otwarte dla każdego złego gracza, który chce zrobić cokolwiek z serwerem Exchange i resztą sieci, mówi Sean Koessel, wiceprezes Volexity, firmy zajmującej się cyberbezpieczeństwem, która pomogła odkryć aktywność hakerów. Najlepszym przypadkiem jest szpiegostwo — ktoś, kto po prostu chce ukraść twoje dane. Najgorszym przypadkiem jest dostanie się ransomware i wdrożenie go w całej sieci.

Rozróżnienie między tymi dwoma atakami dotyczy nie tylko szczegółów technicznych, ani nawet tego, który kraj je popełnił. Chociaż 18 000 firm pobrało skompromitowane oprogramowanie SolarWinds, liczba prawdziwych celów była tylko ułamkiem tego rozmiaru. Tymczasem hafn był znacznie bardziej niewybredny.

Obie zaczynały jako kampanie szpiegowskie, ale różnica polega na tym, jak zostały przeprowadzone, mówi Dmitri Alperovitch, prezes Akceleratora Polityki Silverado. Rosyjska kampania SolarWinds została bardzo starannie przeprowadzona, gdzie Rosjanie poszli za celami, na których im zależało, i zamknęli dostęp wszędzie indziej, aby ani oni, ani nikt inny nie mógł dostać się do tych celów, które nie były interesujące.

Porównaj to z chińską kampanią, mówi.

27 lutego zdają sobie sprawę, że łatka wyjdzie, i dosłownie skanują świat, aby skompromitować wszystkich. Pozostawili powłoki internetowe, które mogą teraz umożliwiać innym osobom dostęp do tych sieci, potencjalnie nawet podmiotom ransomware. Dlatego jest bardzo lekkomyślny, niebezpieczny i wymaga reakcji.

Wyzysk masowy

Początek kampanii hafnu był bardzo niezauważony, mówi Koessel.

Większość kontroli bezpieczeństwa przeoczyła włamanie: wykryto je dopiero, gdy Volexity zauważyło dziwne i specyficzne żądania ruchu internetowego kierowane do klientów firmy, którzy mieli własne serwery poczty Microsoft Exchange.

Trwające miesiąc śledztwo wykazało, że cztery rzadkie exploity dnia zerowego były wykorzystywane do kradzieży całych skrzynek pocztowych – potencjalnie niszczycielskich dla zaangażowanych osób i firm, ale w tym momencie ofiar było niewiele, a szkody były stosunkowo niewielkie. Volexity przez kilka tygodni współpracowało z Microsoftem, aby naprawić luki, ale Koessel twierdzi, że pod koniec lutego zaobserwował poważną zmianę. Nie tylko liczba ofiar zaczęła rosnąć, ale także wzrosła liczba grup hakerskich.

Nie jest jasne, w jaki sposób wiele rządowych grup hakerskich dowiedziało się o lukach dnia zerowego, zanim Microsoft ogłosił jakiekolwiek publiczne oświadczenie. Dlaczego więc zakres wyzysku eksplodował? Być może niektórzy sugerują, że hakerzy zdali sobie sprawę, że ich czas dobiega końca. Jeśli wiedzieli, że nadchodzi łata, jak się dowiedzieli?

Myślę, że bardzo rzadko zdarza się, aby tak wiele różnych [zaawansowanych grup hakerskich] miało dostęp do luki w zabezpieczeniach, gdy szczegóły nie są upublicznione, mówi Matthieu Faou, który prowadzi badania nad hackami Exchange dla ESET. Są dwie główne możliwości, mówi. Albo szczegóły luk w zabezpieczeniach zostały w jakiś sposób ujawnione cyberprzestępcom, albo inny zespół badający luki, pracujący dla cyberprzestępców, niezależnie odkrył ten sam zestaw luk.

Volexity przez miesiąc obserwowała, jak hafn czai się w sieciach, i podjęła kroki, aby je wyrzucić, zanim Microsoft wydał poprawkę. To mógł być wyzwalacz, który spowodował eskalację hafnu. Albo, sugeruje Alperovitch, hakerzy mogli wymyślić inny sposób, w jaki nadchodzi poprawka — zespoły ds. bezpieczeństwa z całej branży, w tym z Microsoftu, regularnie z wyprzedzeniem wymieniają informacje o lukach i poprawkach. Gdy Microsoft ogłosił publiczne oświadczenie, do walki dołączyło jeszcze więcej grup hakerskich.

Dzień po opublikowaniu łatek zaczęliśmy obserwować, jak wiele innych cyberprzestępców masowo skanuje i kompromituje serwery Exchange, mówi Faou. Wszystkie, z wyjątkiem jednej z aktywnych grup hakerskich, to znane, wspierane przez rząd zespoły hakerskie skupiające się na szpiegostwie. Jednak nieuniknione jest, że coraz więcej cyberprzestępców, w tym operatorzy oprogramowania ransomware, prędzej czy później uzyska dostęp do exploitów.

Wraz ze wzrostem aktywności Volexity dostrzegła kolejną zmianę w zachowaniu: hakerzy opuszczali powłoki sieciowe, włamując się do tych systemów. Są to proste narzędzia hakerskie, które umożliwiają stały, zdalny dostęp do zainfekowanych maszyn tylnymi drzwiami, dzięki czemu haker może je kontrolować. Mogą być skuteczne, ale są też stosunkowo hałaśliwe i łatwe do zauważenia.

Gdy hakerzy upuszczą powłokę na maszynę, mogą wracać, dopóki nie zostanie ona wyczyszczona — nawet naprawienie pierwotnych luk w zabezpieczeniach nie wyczyści powłok. Jednak sama powłoka internetowa jest słabo zabezpieczona i może być dokooptowana przez innych hakerów — najpierw w celu włamania się do serwerów Exchange i kradzieży wiadomości e-mail, a następnie ataku na całe sieci.

To drzwi z zamkiem, które można łatwo otworzyć, mówi Alperovitch, współzałożyciel firmy ochroniarskiej CrowdStrike, który odszedł z firmy w zeszłym roku.

Inne wyzwanie

Hakowanie wciąż się nasila. Microsoft podjął w poniedziałek rzadki krok, wypuszczając poprawki bezpieczeństwa dla nieobsługiwanych wersji Exchange, które normalnie byłyby zbyt stare, by je zabezpieczyć – co świadczy o tym, jak poważny jest według firmy atak. Microsoft odmówił komentarza.

Podczas gdy Biały Dom rozważa odpowiedź, ryzyko rośnie. Administracja Bidena powoli zajmuje się wyrafinowanym szpiegostwem SolarWinds, ale chaos związany z hakerami hafnu stanowi zupełnie inne wyzwanie – zarówno w rozwiązywaniu problemu, jak i reagowaniu na stojące za nim hakery.

Potrzebna jest wiadomość, która zostanie wysłana do Chińczyków, że jest to niedopuszczalne, przekonuje Alperovitch. Stany Zjednoczone muszą jasno powiedzieć, że pociągniemy je do odpowiedzialności za wszelkie szkody spowodowane przez przestępców wykorzystujących ten dostęp, mówi, i musimy naciskać na nich, aby jak najszybciej usunęli te powłoki internetowe ze wszystkich ofiar.

ukryć