Cơ quan mạng Hoa Kỳ: Hack máy tính đặt ra 'nguy cơ mồ mả'
Greg Myre Ngày 17 tháng 12 năm 20204: 00 CH ET
Bộ An ninh Nội địa là một trong số các cơ quan liên bang đã tham gia vào một vụ tấn công dựa trên một lỗ hổng trong các sản phẩm giám sát mạng Orion của SolarWinds.
Mandel Ngan / AFP qua Getty Images
Cập nhật vào ngày 17 tháng 12 lúc 5:45 chiều ET
Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ hôm thứ Năm đã đưa ra một cảnh báo đáng ngại về một vụ xâm nhập máy tính lớn, nói rằng nó "gây ra rủi ro nghiêm trọng" cho chính quyền liên bang, tiểu bang và địa phương cũng như các công ty và tổ chức tư nhân.
Chính quyền Trump đã nói tương đối ít kể từ khi vụ hack máy tính chính phủ tại nhiều cơ quan lần đầu tiên được công bố vào cuối tuần trước.
Nhưng CISA, một bộ phận của Bộ An ninh Nội địa, đã đưa ra một cái nhìn tổng thể trong các bình luận mới nhất của mình. Cơ quan này lưu ý rằng cuộc tấn công bắt đầu vào khoảng tháng 3 và vẫn đang tiếp tục - có nghĩa là phần mềm độc hại được đặt trên máy tính có thể vẫn đang thu thập thông tin có giá trị.
Ngoài ra, CISA cho biết việc loại bỏ phần mềm độc hại sẽ "rất phức tạp và đầy thách thức đối với các tổ chức."
Cơ quan tình báo nước ngoài của Nga, SVR, được cho là phải chịu trách nhiệm, theo các chuyên gia an ninh mạng, người cho rằng bản chất cực kỳ tinh vi của vụ tấn công. Nhưng chính quyền Trump đã không chính thức đổ lỗi cho Nga và Nga cũng phủ nhận sự liên quan.
"Làm thế nào tôi có thể chứng minh rằng tôi vô tội nếu tôi không làm điều đó. Chúng ta hãy ngồi lại với nhau. Hãy thảo luận. Hãy bắt đầu lại cuộc đối thoại của chúng ta", Đại sứ Nga Anatoly Antonov cho biết hôm thứ Tư trong một cuộc gọi từ Đại sứ quán Nga tại Washington.
Các cơ quan tình báo Hoa Kỳ đã bắt đầu thông báo tóm tắt cho các thành viên của Quốc hội và Thượng nghị sĩ Richard Blumenthal, một đảng viên Đảng Dân chủ Connecticut, cho biết thông tin rõ ràng chỉ ra Cozy Bear, một nhóm hack được nhiều người coi là tình báo nước ngoài của Nga.
"Cuộc tấn công mạng của Nga khiến tôi vô cùng lo lắng, thực tế là vô cùng sợ hãi. Người Mỹ xứng đáng được biết chuyện gì đang xảy ra", Blumenthal nói trong một trong số các tweet liên quan đến vụ hack.
Blumenthal cho biết ông sẽ thúc đẩy công khai nhiều thông tin hơn.
Cho đến nay, danh sách các tổ chức chính phủ Hoa Kỳ bị ảnh hưởng bao gồm Bộ Thương mại, Bộ An ninh Nội địa, Lầu Năm Góc, Bộ Tài chính, Bưu điện Hoa Kỳ và Viện Y tế Quốc gia.
Trong một tuyên bố hôm thứ Năm, Bộ Năng lượng thừa nhận hệ thống máy tính của họ đã bị xâm phạm, mặc dù họ cho biết "tại thời điểm này" cuộc điều tra của họ cho thấy phần mềm độc hại "chỉ được tách biệt với các mạng doanh nghiệp và không ảnh hưởng đến nhiệm vụ an ninh quốc gia thiết yếu của Bộ. , bao gồm cả Cơ quan Quản lý An ninh Hạt nhân Quốc gia. "
Theo các quan chức chính phủ và các chuyên gia an ninh mạng, phần mềm độc hại này tập trung vào việc vi phạm các mạng của chính phủ Hoa Kỳ, nhưng phần mềm độc hại này cũng có khả năng đã lây nhiễm vào máy tính của hàng nghìn công ty và tổ chức tư nhân.
FBI, Bộ An ninh Nội địa và Văn phòng Giám đốc Tình báo Quốc gia hôm thứ Tư thông báo họ đã thành lập một nhóm thống nhất đặc biệt, cho biết họ sẽ "phối hợp phản ứng của toàn chính phủ đối với sự cố mạng quan trọng này."
Tổng thống Trump đã không công khai bất kỳ đề cập nào về vụ hack.
Các tin tặc đã nhắm mục tiêu vào phần mềm của SolarWinds, một công ty có trụ sở tại Austin, Texas. Nhiều cơ quan liên bang và hàng nghìn công ty sử dụng phần mềm Orion của SolarWinds để giám sát mạng máy tính của họ.
CISA đã ban hành một chỉ thị khẩn cấp vào Chủ nhật, yêu cầu các cơ quan liên bang "ngay lập tức ngắt kết nối hoặc tắt nguồn các sản phẩm SolarWinds Orion bị ảnh hưởng khỏi mạng của họ."
Vụ việc là vụ việc mới nhất trong danh sách dài những vụ nghi ngờ Nga xâm nhập điện tử vào các quốc gia khác - đặc biệt là Mỹ - dưới thời Tổng thống Vladimir Putin. Nhiều quốc gia trước đây đã cáo buộc Nga sử dụng tin tặc, bot và các phương tiện khác để cố gắng gây ảnh hưởng đến các cuộc bầu cử ở Hoa Kỳ và các nơi khác.
Các cơ quan an ninh quốc gia của Hoa Kỳ đã có những nỗ lực lớn để ngăn chặn Nga can thiệp vào cuộc bầu cử năm 2020. Nhưng những cơ quan tương tự đó dường như đã bị che mắt bởi những tin tặc đã có nhiều tháng để đào bới bên trong các hệ thống của chính phủ Hoa Kỳ.
Glenn Gerstell, cố vấn chung của Cơ quan An ninh Quốc gia từ năm 2015 đến năm 2020 cho biết: “Cứ như thể bạn thức dậy vào một buổi sáng và đột nhiên nhận ra rằng một tên trộm đã ra vào nhà bạn trong sáu tháng qua.
Đây là những gì chúng tôi biết về cuộc tấn công:
Ai bị ảnh hưởng?
SolarWinds có khoảng 300.000 khách hàng, nhưng họ cho biết "ít hơn 18.000" đã cài đặt phiên bản sản phẩm Orion của mình có vẻ như đã bị xâm phạm.
Các nạn nhân bao gồm chính phủ, tư vấn, công nghệ, viễn thông và các tổ chức khác ở Bắc Mỹ, Châu Âu, Châu Á và Trung Đông, theo công ty bảo mật FireEye, đã giúp nâng cao cảnh báo về vụ vi phạm.
"Chúng tôi bHãy chắc chắn rằng đây là hoạt động quốc gia-nhà nước ở quy mô đáng kể, nhằm vào cả chính phủ và khu vực tư nhân ", Microsoft cho biết khi chia sẻ một số chi tiết về cái mà họ gọi là" hoạt động đe dọa mà chúng tôi đã phát hiện trong những tuần qua. "
Sau khi nghiên cứu phần mềm độc hại, FireEye cho biết họ tin rằng các vụ vi phạm đã được nhắm mục tiêu cẩn thận: "Các vụ xâm nhập này không tự lan truyền; mỗi cuộc tấn công đều yêu cầu lập kế hoạch tỉ mỉ và tương tác thủ công."
Hack đã hoạt động như thế nào?
Tin tặc đã khai thác cách các công ty phần mềm phân phối các bản cập nhật, thêm phần mềm độc hại vào gói hợp pháp. Các nhà phân tích bảo mật cho biết mã độc đã tạo cho tin tặc một "cửa hậu" - một chỗ đứng trong mạng máy tính của mục tiêu - mà sau đó chúng sử dụng để đạt được các thông tin xác thực cao.
SolarWinds đã theo dõi cuộc tấn công "chuỗi cung ứng" để cập nhật cho các sản phẩm mạng Orion của mình từ tháng 3 đến tháng 6.
"Sau khoảng thời gian không hoạt động ban đầu lên đến hai tuần, nó truy xuất và thực hiện các lệnh, được gọi là 'Công việc', bao gồm khả năng chuyển tệp, thực thi tệp, cấu hình hệ thống, khởi động lại máy và vô hiệu hóa các dịch vụ hệ thống", FireEye cho biết .
Phần mềm độc hại được thiết kế để tàng hình, hoạt động theo cách có thể giả dạng hoạt động bình thường, FireEye cho biết. Nó nói thêm rằng phần mềm độc hại cũng có thể xác định các công cụ pháp y và chống vi-rút có thể đe dọa nó. Và nó cho biết thông tin đăng nhập mà nó sử dụng để di chuyển trong hệ thống "luôn khác với thông tin được sử dụng để truy cập từ xa."
Sau khi giành được quyền truy cập, Microsoft cho biết, kẻ xâm nhập cũng đã thực hiện các thay đổi để đảm bảo quyền truy cập lâu dài, bằng cách thêm thông tin đăng nhập mới và sử dụng đặc quyền quản trị viên để tự cấp thêm quyền.
FireEye gọi phần mềm SolarWinds "Trojanized" là Sunburst. Nó đặt tên cho một phần mềm độc hại khác - mà nó nói là chưa từng thấy trước đây - TEARDROP.
Điều tra viên đang làm gì bây giờ?
SolarWinds cho biết họ đang hợp tác với FBI, cộng đồng tình báo Hoa Kỳ và các cơ quan điều tra khác để tìm hiểu thêm về phần mềm độc hại và ảnh hưởng của nó. Công ty và các công ty bảo mật cũng cho biết bất kỳ cơ quan hoặc khách hàng nào bị ảnh hưởng nên cập nhật phần mềm mới nhất để giảm bớt khả năng tiếp xúc với lỗ hổng bảo mật.
Mô tả một số công việc trinh thám hiện đang diễn ra, Gerstell nói, "Bạn sẽ phải quay lại và xem xét từng phòng để xem những gì đã được lấy đi, những gì có thể đã được chạm vào. Và tất nhiên, đó chỉ là một ý nghĩ kinh hoàng."
Những kẻ xâm nhập đã cẩn thận để che dấu vết của họ, ông nói.
"Bạn không thể biết rằng họ đã vào, bạn không thể biết rằng họ để cửa hậu mở. Bạn thậm chí không thể biết nhất thiết khi nào họ vào, nhìn xung quanh và khi nào họ rời đi."
Theo chuyên gia bảo mật Brian Krebs, Microsoft hiện đã nắm quyền kiểm soát tên miền mà tin tặc sử dụng để giao tiếp với các hệ thống bị xâm phạm bởi bản cập nhật Orion. Ông nói rằng quyền truy cập đó có thể giúp tiết lộ phạm vi của vụ hack.
Ông nói, vụ đột nhập đơn giản có thể là một trường hợp gián điệp của một chính phủ đang cố gắng hiểu những gì đối thủ của họ đang làm.
Câu chuyện này được xuất bản lần đầu tiên vào ngày 15 tháng 12 và đã được cập nhật.
Comments
Post a Comment