Jak rosyjscy hakerzy przez wiele miesięcy infiltrowali rząd USA, nie będąc zauważonym

Departament Skarbu w Waszyngtonie. Departament Skarbu USA” autorstwa *rboed* jest objęty licencją CC BY 2.0

Tysiące firm i rządów ścigają się, aby dowiedzieć się, czy zostali uderzeni przez rosyjskich hakerów, którzy podobno zinfiltrowali kilka amerykańskich agencji rządowych. Początkowe naruszenie, zgłoszone 13 grudnia obejmował Skarb Państwa oraz Departamenty Handlu i Bezpieczeństwa Wewnętrznego. Jednak techniki ukrywania stosowane przez hakerów oznaczają, że zidentyfikowanie wszystkich ofiar i usunięcie oprogramowania szpiegującego, które zainstalowali, może zająć miesiące.

Aby przeprowadzić włamanie, hakerzy najpierw włamali się do systemów SolarWinds, amerykańskiej firmy produkującej oprogramowanie. Tam wprowadzili tylne drzwi do Oriona, jednego z produktów firmy, którego organizacje używają do przeglądania i zarządzania rozległymi wewnętrznymi sieciami komputerów. Przez kilka tygodni, począwszy od marca, każdy klient, który zaktualizował się do najnowszej wersji Oriona — podpisanej cyfrowo przez SolarWinds, a zatem pozornie legalnej — nieświadomie pobierał zhakowane oprogramowanie, dając hakerom dostęp do ich systemów.

SolarWinds ma około 300 000 klientów na całym świecie, w tym większość z listy Fortune 500 i wiele rządów. W nowym piłowanie wraz z Komisją Papierów Wartościowych i Giełd firma poinformowała, że ​​mniej niż 18 000 organizacji kiedykolwiek pobrało zhakowaną aktualizację. (SolarWinds powiedział, że nie jest jeszcze jasne, ile z tych systemów zostało faktycznie zhakowanych). Standardową praktyką w zakresie cyberbezpieczeństwa jest aktualizowanie oprogramowania — więc większość klientów SolarWinds, jak na ironię, była chroniona, ponieważ nie posłuchała tej porady.

Hakerzy byli niezwykle sprytni i strategiczni, mówi Greg Touhill, były federalny szef bezpieczeństwa informacji. Nawet gdy uzyskali dostęp tylnymi drzwiami w Orion, znanymi jako Sunburst, poruszali się powoli i celowo. Zamiast infiltrować wiele systemów naraz, co mogło łatwo wzbudzić podejrzenia, skupili się na małej grupie wybranych celów, zgodnie z raport od firmy ochroniarskiej FireEye.

Według raportu Sunburst milczał przez dwa pełne tygodnie, zanim się obudził i zaczął komunikować się z hakerami. Złośliwe oprogramowanie ukrywa swój ruch sieciowy jako „Orion Improvement Program” i przechowuje dane w legalnych plikach, aby lepiej się wtopić. Wyszukuje również narzędzia zabezpieczające i antywirusowe na zainfekowanej maszynie, aby ich uniknąć.

Aby dodatkowo zatrzeć swoje ślady, hakerzy ostrożnie używali komputerów i sieci do komunikowania się z tylnymi drzwiami w danym celu tylko raz — co jest odpowiednikiem użycia telefonu z nagrywarką do nielegalnej rozmowy. W ograniczonym stopniu korzystali ze złośliwego oprogramowania, ponieważ jest ono stosunkowo łatwe do wykrycia; zamiast tego, gdy uzyskali wstępny dostęp tylnymi drzwiami, zwykle wybierali cichszą drogę, polegającą na wykorzystaniu prawdziwych skradzionych danych uwierzytelniających, aby uzyskać zdalny dostęp do komputerów ofiary. A złośliwe oprogramowanie, które wdrożyli, nie wykorzystuje ponownie kodu, co utrudniło wyłapanie szpiegów, ponieważ programy bezpieczeństwa polują na kod, który pojawił się podczas poprzednich ataków hakerskich.

Miesiące niewykryte

Jak wynika z raportów bezpieczeństwa firm Microsoft i FireEye, oznaki kampanii włamań sięgają marca, naruszenie własnych sieci zaledwie w zeszłym tygodniu. Oznacza to, że każda organizacja, która podejrzewa, że ​​mogła być celem, musi teraz przeszukiwać logi systemowe z co najmniej 10 miesięcy w poszukiwaniu podejrzanej aktywności — zadanie to wykracza poza możliwości wielu zespołów ds. bezpieczeństwa.

Powiązana historia

Rosyjscy hakerzy, którzy ingerowali w 2016 r., zostali zauważeni jako atakujący na amerykańskie wybory w 2020 r. Rosja, Chiny i Iran zostały przyłapane na prowadzeniu cyberszpiegostwa związanego z wyścigiem prezydenckim w USA.

Aby pomóc organizacjom w ustaleniu, czy ich systemy zostały zhakowane, FireEye i Microsoft opublikowały długą listę wskaźników naruszenia — dane kryminalistyczne, które mogą wykazywać dowody na złośliwą aktywność. Wskaźniki obejmują obecność samego Sunburst, a także niektóre adresy IP identyfikujące komputery i sieci, z których hakerzy się z nim komunikowali. Jeśli zespół znajdzie którykolwiek z tych adresów IP w swoich dziennikach sieciowych, jest to prawdziwy znak złych wiadomości. Ale ponieważ hakerzy użyli każdego adresu tylko raz, ich brak nie gwarantuje bezpieczeństwa. Ani odkrycie, że przebywają w sieci, nie oznacza, że ​​łatwo jest ich skutecznie eksmitować, ponieważ mogą przeszukiwać sieć w poszukiwaniu nowych kryjówek.

Podejrzani hakerzy pochodzą z rosyjskiej SVR, głównej agencji wywiadu zagranicznego tego kraju. Znane na przemian jako Cozy Bear i APT29, opracowały długą listę naruszeń, w tym: włamać się Demokratycznego Komitetu Narodowego w 2016 roku. Rosja zaprzecza zaangażowaniu.

Daje im możliwość wchodzenia backdoorem do głównych sieci, mówi Touhill, który jest obecnie prezesem Appgate Federal Group, firmy zajmującej się bezpieczną infrastrukturą. Potrafią tam siedzieć, pochłaniać cały ruch, analizować go. Musimy zwracać baczną uwagę na to, czego jeszcze szukają ci aktorzy? Gdzie jeszcze mogą być? Gdzie jeszcze mogą się czaić? Jeśli mają dostęp, nie rezygnują z niego łatwo.

ukryć