Објашњено: Масиван сајбер напад у САД, коришћењем новог скупа алата

Један од највећих сајбер напада који су циљали америчке владине агенције и приватне компаније, 'СоларВиндс хак' се сматра вероватним глобалним напором. Како је то спроведено и које врсте података су компромитоване? Зашто су званичници и политичари америчке владе дали име Русији?

Циљ сајбер напада био је Орион, софтвер који је испоручила компанија СоларВиндс. (Фото Ројтерс)

'СоларВиндс хацк', сајбер напад недавно откривен у Сједињеним Државама, појавио се као један од највећи икада усмерена против владе САД, њених агенција и неколико других приватних компанија. У ствари, вероватно је реч о глобалном сајбер нападу.

Прво га је открила америчка компанија за сајбер безбедност ФиреЕие, а од тада се сваким даном открива све већи развој догађаја. Чисте размере сајбер-напада остају непознате, иако се верује да су погођени америчко Министарство финансија, Министарство унутрашње безбедности, Министарство трговине, делови Пентагона.

У ан мишљење комад написано за Тхе Нев Иорк Тимес , Томас П. Босерт, који је био саветник за унутрашњу безбедност председника Доналда Трампа, прозвао је Русију за напад. Написао је доказе у нападима СоларВиндс-а који указују на руску обавештајну агенцију познату као СВР, чија је трговина међу најнапреднијим на свету. Кремљ је негирао своју умешаност.

Дакле, шта је ово 'СоларВиндс хак'?

Вест о сајбер нападу технички је први пут објављена 8. децембра, када је ФиреЕие објавио блог откривајући напад на своје системе. Фирма помаже у управљању сигурношћу неколико великих приватних компанија и федералних владиних агенција.

Извршни директор ФиреЕие Кевин Мандиа написао је на блогу рекавши да је компанију напао веома софистицирани актер претњи, називајући то нападом који спонзорише држава, иако није именовао Русију. Наводи се да је напад извела нација са врхунским офанзивним способностима, а нападач је првенствено тражио информације везане за одређене владине клијенте. Такође се наводи да су методе које су користили нападачи нове.

Затим је 13. децембра ФиреЕие рекао да сајбер напад, који је назвао Цампаигн УНЦ2452, није био ограничен на компанију, већ је циљао разне јавне и приватне организације широм света. Кампања је вероватно почела у марту 2020. и траје већ месецима, наводи се у објави. Што је још горе, обим података украдених или компромитованих још увек није познат, с обзиром да се обим напада још увек открива. Након што су системи били компромитовани, дошло је до бочног померања и крађе података.

Како је нападнуто толико америчких владиних агенција и компанија?

Ово се назива нападом „ланца снабдевања“: уместо да директно нападају савезну владу или мрежу приватне организације, хакери циљају на добављача треће стране, који им испоручује софтвер. У овом случају, мета је био софтвер за ИТ управљање под називом Орион, који је испоручила компанија СоларВиндс из Тексаса.

Орион је био доминантан софтвер компаније СоларВиндс са клијентима, који укључују преко 33.000 компанија. СоларВиндс каже да је погођено 18.000 његових клијената. Иначе, компанија је избрисала листу клијената са својих званичних веб страница.

Према страници, која је такође избрисана из Гоогле-ове веб архиве, листа укључује 425 компанија у Фортуне 500, 10 најбољих телеком оператера у САД. Извештај „Њујорк тајмса“ наводи да су погођени делови Пентагона, центара за контролу и превенцију болести, Стејт департмента, Министарства правде и других.

Мајкрософт је потврдио да је пронашао доказе о злонамерном софтверу на њиховим системима, иако је додао да нема доказа о приступу производним услугама или корисничким подацима, или да су његови системи коришћени за напад на друге. Председник Мајкрософта Бред Смит рекао је да је компанија почела да обавештава више од 40 купаца да су нападачи прецизније циљали и компромитовали.

У извештају Ројтерса се наводи да су чак и мејлове које су слали званичници Министарства за унутрашњу безбедност пратили хакери.

Како су добили приступ?

Према ФиреЕие-у, хакери су добили приступ жртвама путем тројанизованих ажурирања СоларВиндс-овог Орион ИТ софтвера за праћење и управљање. У суштини, искоришћено је ажурирање софтвера за инсталирање малвера „Сунбурст“ у Орион, који је потом инсталирало више од 17.000 купаца.

ФиреЕие каже да су се нападачи ослањали на више техника како би избегли да буду откривени и прикрили своју активност. Малвер је могао да приступи системским датотекама. Оно што је ишло у прилог злонамерном софтверу је то што је могао да се уклопи са легитимном активношћу СоларВиндс-а, наводи ФиреЕие.

Једном инсталиран, злонамерни софтвер је хакерима омогућио улаз у системе и мреже клијената СоларВиндс-а. Што је још важније, злонамерни софтвер је такође могао да спречи алате као што је антивирус који је могао да га открије.

Где улази Русија?

У свом чланку мишљења на НИТ, Боссерт је именовао Русију и њену агенцију СВР, која има могућности да изведе напад такве генијалности и размјера.

Мицрософт на свом блогу напомиње да је овај аспект напада створио рањивост ланца снабдевања од скоро глобалног значаја, достигавши многе главне националне престонице ван Русије. Даље се додаје да су софистицирани напади из Русије постали уобичајени.

ФиреЕие, међутим, још није именовао Русију као одговорну и рекао је да је у току истрага са ФБИ, Мајкрософтом и другим кључним партнерима који нису именовани.

Шта су СоларВиндс и америчка влада рекли о хаку?

Управо сада, СоларВиндс препоручује свим купцима да одмах ажурирају постојећу Орион платформу, која има закрпу за овај малвер. Ако се открије активност нападача у окружењу, препоручујемо спровођење свеобухватне истраге и дизајнирање и спровођење стратегије санације засноване на налазима истраге и детаљима погођеног окружења, наводи се у саопштењу.

Онима који не могу да се ажурирају каже се да изолују СоларВиндс сервере и то би требало да укључи блокирање свих излаза на Интернет са СоларВиндс сервера. Најмањи предлог је промена лозинки за налоге који имају приступ СоларВиндс серверима/инфраструктури.

Америчка агенција за сајбер безбедност и безбедност инфраструктуре (ЦИСА) издала је хитну директиву 21-01, тражећи од свих савезних цивилних агенција да прегледају своје мреже у потрази за показатељима компромиса. Замолио их је да одмах искључе или искључе СоларВиндс Орион производе.

ФБИ, ЦИСА и канцеларија директора Националне обавјештајне службе издали су заједничко саопштење и објавили оно што се зове „Сајбер обједињена координациона група (УЦГ) како би координирала одговор владе на кризу. У саопштењу се ово назива значајном и текућом кампањом сајбер безбедности.

Бела кућа и председник Доналд Трамп су ћутали. Сенатор Мит Ромни је то најбоље сумирао у својим коментарима новинару Оливијеу Ноксу са радија СириусКСМ, где је упоредио овај напад са еквивалентом руских бомбардера који лете неоткривени широм земље и разоткривају слабост САД у сајбер ратовању. Он је рекао да је ћутање и нерад из Беле куће неопростиво.

Сенатор Ричард Блументал, демократа, написао је на Твитеру: руски сајбер-напад ме је оставио дубоко узнемирен, заправо потпуно уплашен.

Новоизабрани председник Џо Бајден је у изјави рекао: Добра одбрана није довољна; Морамо да ометамо и одвратимо наше противнике од предузимања значајних сајбер напада.

Подели Са Пријатељима: