Phần mềm SolarWinds được sử dụng trong nhiều cuộc tấn công hack: Những điều bạn cần biết
 |
US Intelligence agencies have said Russia is responsible for a major hacking campaign striking federal agencies and major tech companies Angela Lang/CNET |
Một cuộc tấn công chuỗi cung ứng lớn làm tổn hại đến các cơ quan liên bang cũng như các công ty công nghệ lớn. Một cuộc tấn công thứ hai được cho là nhắm trực tiếp vào các hệ thống chạy phần mềm SolarWinds.
Ngày 3 tháng 2 năm 2021 5:06 sáng theo giờ PT
mắt-giám sát-an ninh
Cơ quan Tình báo Hoa Kỳ cho biết Nga chịu trách nhiệm cho một chiến dịch tấn công lớn tấn công các cơ quan liên bang và các công ty công nghệ lớn
Angela Lang / CNET
Một chiến dịch phần mềm độc hại tinh vi được cho là của tình báo Nga đã ảnh hưởng đến các cơ quan địa phương, tiểu bang và liên bang ở Mỹ cùng với các công ty tư nhân trong đó có Microsoft. Sau phân tích của các nhà nghiên cứu bảo mật vào tháng 12 rằng một nhóm thứ hai có khả năng sử dụng phần mềm SolarWinds để nhắm mục tiêu vào các tổ chức, Reuters đưa tin hôm thứ Ba rằng các quan chức chính phủ tin rằng một nhóm tin tặc Trung Quốc bị tình nghi chịu trách nhiệm cho một loạt vi phạm tại nhiều cơ quan liên bang.
Vụ tấn công bị nghi ngờ của Trung Quốc hoàn toàn tách biệt với vụ vi phạm lớn được công bố vào tháng 12, được cho là đã xâm nhập hệ thống email được sử dụng bởi lãnh đạo cấp cao tại Bộ Tài chính và hệ thống tại một số cơ quan liên bang khác. Chuỗi vi phạm đó bắt đầu vào tháng 3 năm 2020 khi tin tặc xâm nhập phần mềm quản lý CNTT của SolarWinds.
SolarWinds có trụ sở tại Austin, Texas bán phần mềm cho phép một tổ chức xem những gì đang xảy ra trên mạng máy tính của họ. Trong vụ tấn công do Nga gây ra, tin tặc đã chèn mã độc vào bản cập nhật của nền tảng phần mềm đó, được gọi là Orion. Công ty cho biết khoảng 18.000 khách hàng của SolarWinds đã cài đặt bản cập nhật bị nhiễm bẩn vào hệ thống của họ. Bản cập nhật bị xâm phạm đã có tác động sâu rộng, quy mô của nó tiếp tục phát triển khi thông tin mới xuất hiện.
Trong một tuyên bố chung vào ngày 12 tháng 12, các cơ quan an ninh quốc gia Hoa Kỳ gọi vụ vi phạm là "đáng kể và đang diễn ra." Theo phân tích của Microsoft và công ty bảo mật FireEye, cả hai đều đã bị lây nhiễm, phần mềm độc hại này cho phép tin tặc tiếp cận rộng rãi các hệ thống bị ảnh hưởng. Ngược lại, cuộc tấn công hack được báo cáo từ nhóm người Trung Quốc bị nghi ngờ đã không xâm nhập vào hệ thống của SolarWinds, thay vào đó họ đã giành được quyền truy cập vào hệ thống của mục tiêu và sau đó khai thác lỗ hổng trong phần mềm Orion đang chạy ở đó.
Microsoft cho biết họ đã xác định được hơn 40 khách hàng bị nhắm mục tiêu trong vụ hack do Nga gây ra. Không biết có bao nhiêu cơ quan chính phủ bị ảnh hưởng bởi chiến dịch hack thứ hai. Nhiều thông tin hơn có thể xuất hiện về các thỏa hiệp và hậu quả của chúng. Đây là những gì bạn cần biết về các bản hack:
Làm thế nào mà tin tặc lén đưa phần mềm độc hại vào bản cập nhật phần mềm?
Tin tặc đã quản lý để truy cập vào một hệ thống mà SolarWinds sử dụng để tập hợp các bản cập nhật cho sản phẩm Orion của mình, công ty giải thích trong một hồ sơ gửi lên SEC vào ngày 14 tháng 12. Từ đó, họ chèn mã độc hại vào bản cập nhật phần mềm hợp pháp. Đây được gọi là một cuộc tấn công chuỗi cung ứng vì nó lây nhiễm phần mềm khi nó đang được lắp ráp.
Đó là một cuộc đảo chính lớn đối với các tin tặc khi thực hiện một cuộc tấn công chuỗi cung ứng vì nó gói phần mềm độc hại của họ bên trong một phần mềm đáng tin cậy. Tin tặc thường phải khai thác các lỗ hổng phần mềm chưa được vá trên hệ thống của mục tiêu để có quyền truy cập hoặc lừa các mục tiêu riêng lẻ tải xuống phần mềm độc hại bằng chiến dịch lừa đảo. Với một cuộc tấn công chuỗi cung ứng, tin tặc có thể dựa vào một số cơ quan chính phủ và công ty để cài đặt bản cập nhật Orion theo lời nhắc của SolarWinds.
Phương pháp này đặc biệt mạnh mẽ trong trường hợp này vì hàng nghìn công ty và cơ quan chính phủ trên khắp thế giới đã sử dụng phần mềm Orion. Với việc phát hành bản cập nhật phần mềm bị ô nhiễm, danh sách khách hàng rộng lớn của SolarWinds trở thành mục tiêu tấn công tiềm năng.
Đây có phải là chiến dịch hack duy nhất khai thác phần mềm SolarWinds không?
SolarWinds cũng đã được giám sát kỹ lưỡng về các lỗ hổng trong phần mềm của mình. Đây là lỗi mã hóa và không phải là kết quả của việc những kẻ tấn công xâm nhập vào hệ thống SolarWinds để cấy phần mềm độc hại. Thay vào đó, tin tặc phải truy cập vào hệ thống nạn nhân và sau đó khai thác các lỗ hổng trong phần mềm Orion đang chạy ở đó.
Vào tháng 12, các nhà nghiên cứu bảo mật cho biết các cuộc điều tra pháp y về phần mềm Orion trên các hệ thống bị ảnh hưởng bởi bản cập nhật bị nhiễm độc cũng cho thấy một nhóm kẻ tấn công hoàn toàn khác biệt cũng đang nhắm mục tiêu vào các tổ chức thông qua Orion. Vào ngày 2 tháng 2, Reuters đưa tin rằng các quan chức chính phủ tin rằng một nhóm tin tặc Trung Quốc bị tình nghi đã tấn công các cơ quan chính phủ liên bang bằng cách sử dụng một lỗ hổng phần mềm trong Orion. Một phát ngôn viên của Trung tâm Tài chính Quốc gia của Bộ Nông nghiệp Hoa Kỳ phản bác báo cáo của Reuters rằng tin tặc đã xâm phạm hệ thống của họ.
Vào ngày 3 tháng 2, các nhà nghiên cứu từ công ty an ninh mạng Trustwave đã công bố thông tin về ba lỗ hổng trong các sản phẩm phần mềm của SolarWinds. Các lỗi đã được vá và không có dấu hiệu nào cho thấy chúng đã được sử dụng trong bất kỳ cuộc tấn công hack nào.
Chúng ta biết gì về sự tham gia của Nga trong việc xâm phạm các hệ thống của SolarWinds?
Các quan chức tình báo Hoa Kỳ đã công khai đổ lỗi cho người cung cấpn cuộc tấn công nhắm vào các hệ thống nội bộ của SolarWinds ở Nga. FBI và NSA đã tham gia với Cơ quan An ninh mạng và Cơ sở hạ tầng và Văn phòng Giám đốc Tình báo Quốc gia vào ngày 5 tháng 1 để nói rằng vụ tấn công "có thể có nguồn gốc từ Nga", nhưng không đặt tên cho một nhóm hack cụ thể hoặc cơ quan chính phủ Nga là chịu trách nhiệm.
Tuyên bố tình báo chung sau nhận xét của Ngoại trưởng Mỹ lúc đó là Mike Pompeo trong một cuộc phỏng vấn ngày 18 tháng 12, trong đó ông cho rằng vụ hack là do Nga. Ngoài ra, các hãng tin tức đã trích dẫn các quan chức chính phủ trong suốt tuần trước cho biết một nhóm hack của Nga được cho là chịu trách nhiệm cho chiến dịch phần mềm độc hại. Điều này đã phản bác lại suy đoán của Tổng thống Donald Trump khi đó rằng Trung Quốc có thể đứng sau vụ tấn công.
SolarWinds và các công ty an ninh mạng đã quy vụ tấn công này là do "các tổ chức quốc gia-nhà nước" nhưng không nêu tên trực tiếp quốc gia.
Trong một tuyên bố ngày 13/12 trên Facebook, đại sứ quán Nga tại Mỹ đã phủ nhận trách nhiệm về chiến dịch hack SolarWinds. "Các hoạt động độc hại trong không gian thông tin mâu thuẫn với các nguyên tắc trong chính sách đối ngoại của Nga, lợi ích quốc gia và hiểu biết của chúng tôi về các mối quan hệ giữa các tiểu bang", đại sứ quán cho biết và nói thêm, "Nga không tiến hành các hoạt động tấn công trong lĩnh vực mạng."
Có biệt danh là APT29 hoặc CozyBear, nhóm hack được các bản tin chỉ ra trước đây đã bị cho là nhắm vào các hệ thống email tại Bộ Ngoại giao và Nhà Trắng dưới thời chính quyền của Tổng thống Barack Obama. Nó cũng được các cơ quan tình báo Mỹ đặt tên là một trong những nhóm đã xâm nhập vào hệ thống email của Ủy ban Quốc gia đảng Dân chủ vào năm 2015, nhưng việc rò rỉ những email đó không phải do CozyBear. (Một cơ quan khác của Nga đã bị đổ lỗi cho điều đó.)
Gần đây hơn, Mỹ, Anh và Canada đã xác định nhóm này chịu trách nhiệm về việc hack các nỗ lực cố gắng truy cập thông tin về nghiên cứu vắc xin COVID-19.
Những cơ quan chính phủ nào đã bị ảnh hưởng bởi bản cập nhật bị ô nhiễm?
Theo báo cáo từ Reuters, The Washington Post và The Wall Street Journal, bản cập nhật chứa phần mềm độc hại đã ảnh hưởng đến các Bộ An ninh Nội địa, Nhà nước, Thương mại và Kho bạc Hoa Kỳ, cũng như Viện Y tế Quốc gia. Politico đưa tin hôm 17/12 rằng các chương trình hạt nhân do Bộ Năng lượng Hoa Kỳ và Cơ quan An ninh Hạt nhân Quốc gia điều hành cũng đã bị nhắm mục tiêu.
Reuters đưa tin vào ngày 23 tháng 12 rằng CISA đã thêm chính quyền địa phương và tiểu bang vào danh sách nạn nhân. Theo trang web của CISA, cơ quan này đang "theo dõi một sự cố mạng quan trọng ảnh hưởng đến mạng doanh nghiệp trên khắp các chính quyền liên bang, tiểu bang và địa phương, cũng như các thực thể cơ sở hạ tầng quan trọng và các tổ chức khu vực tư nhân khác."
Vẫn chưa rõ thông tin nào, nếu có, đã bị đánh cắp từ các cơ quan chính phủ, nhưng lượng truy cập dường như rất rộng.
Mặc dù Bộ Năng lượng và Bộ Thương mại và Bộ Tài chính đã thừa nhận các vụ tấn công, nhưng không có xác nhận chính thức rằng các cơ quan liên bang cụ thể khác đã bị tấn công. Tuy nhiên, Cơ quan An ninh mạng và Cơ sở hạ tầng đã đưa ra lời khuyên thúc giục các cơ quan liên bang giảm thiểu phần mềm độc hại, lưu ý rằng nó "hiện đang bị khai thác bởi các phần mềm độc hại."
Trong một tuyên bố vào ngày 17 tháng 12, Tổng thống đắc cử lúc bấy giờ là Joe Biden cho biết chính quyền của ông sẽ "ưu tiên hàng đầu đối phó với vi phạm này kể từ thời điểm chúng tôi nhậm chức."
Tại sao hack chuỗi cung ứng lại là một vấn đề lớn?
Ngoài việc giành quyền truy cập vào một số hệ thống của chính phủ, các tin tặc đã biến một bản cập nhật phần mềm hàng loạt thành một vũ khí. Vũ khí đó đã chĩa vào hàng nghìn nhóm, không chỉ các cơ quan và công ty mà tin tặc tập trung vào sau khi họ cài đặt bản cập nhật Orion bị nhiễm độc.
Chủ tịch Microsoft, Brad Smith, đã gọi đây là một "hành động liều lĩnh" trong một bài đăng trên blog trên phạm vi rộng vào ngày 17 tháng 12 khám phá các phân nhánh của vụ hack. Ông không trực tiếp quy vụ hack cho Nga nhưng mô tả các chiến dịch hack bị cáo buộc trước đây là bằng chứng về một cuộc xung đột mạng ngày càng gay gắt.
"Đây không chỉ là một cuộc tấn công vào các mục tiêu cụ thể," Smith nói, "mà còn dựa trên sự tin cậy và đáng tin cậy của cơ sở hạ tầng quan trọng của thế giới để thúc đẩy cơ quan tình báo của một quốc gia." Ông tiếp tục kêu gọi các thỏa thuận quốc tế nhằm hạn chế việc tạo ra các công cụ tấn công phá hoại an ninh mạng toàn cầu.
Cựu giám đốc an ninh mạng của Facebook, Alex Stamos cho biết ngày 18 tháng 12 trên Twitter rằng vụ hack có thể dẫn đến các cuộc tấn công chuỗi cung ứng trở nên phổ biến hơn. Tuy nhiên, ông đặt câu hỏi liệu vụ hack có phải là điều gì bất thường đối với một cơ quan tình báo có nguồn lực tốt hay không.
"Cho đến nay, tất cả các hoạt động đã được thảo luận công khai đã rơi vào ranh giới của những gì Hoa Kỳ làm thường xuyên", Stamos đã tweet.
Các công ty tư nhân hoặc các chính phủ khác có bị tấn công bởi phần mềm độc hại không?
Đúng. Microsoft xác nhận vào ngày 17 tháng 12 rằng họ đã tìm thấy các dấu hiệu của phần mềm độc hại trong hệ thống của mình, sau khi xác nhận vài ngày trước đó rằng vi phạm đang ảnh hưởng đến khách hàng của họ. Một báo cáo của Reuters cũng nói rằng hệ thống của chính Microsoft đã được sử dụng để tiếp tục chiến dịch hack, nhưng Microsoft đã bác bỏ tuyên bố này với các hãng thông tấn. Vào ngày 16 tháng 12, công ty bắt đầu cách ly các phiên bản Orion được biết là có chứa phần mềm độc hại, để ngăn chặn tin tặc khỏi hệ thống của khách hàng.
FireEye cũng xác nhận rằng họ đã bị nhiễm phần mềm độc hại và cũng đang thấy sự lây nhiễm trong hệ thống của khách hàng.
Vào ngày 21 tháng 12, The Wall Street Journal cho biết họ đã phát hiện ra ít nhất 24 công ty đã cài đặt phần mềm độc hại. Chúng bao gồm các công ty công nghệ Cisco, Intel, Nvidia, VMware và Belkin, theo Journal. Các tin tặc cũng được cho là đã truy cập vào các Bệnh viện của Bộ Ngoại giao California và Đại học Bang Kent.
Không rõ khách hàng nào trong khu vực tư nhân khác của SolarWinds đã thấy nhiễm phần mềm độc hại. Danh sách khách hàng của công ty bao gồm các tập đoàn lớn, chẳng hạn như AT&T, Procter & Gamble và McDonald's. Công ty cũng coi các chính phủ và các công ty tư nhân trên khắp thế giới là khách hàng. FireEye cho biết nhiều khách hàng trong số đó đã bị nhiễm virus.
Đính chính, ngày 23 tháng 12: Câu chuyện này đã được cập nhật để làm rõ rằng SolarWinds làm phần mềm quản lý CNTT. Một phiên bản trước của câu chuyện đã trình bày sai mục đích của các sản phẩm của nó.
Được xuất bản lần đầu vào ngày 18 tháng 12 năm 2020 lúc 5:00 sáng theo giờ Thái Bình Dương.
SolarWinds software used in multiple hacking attacks: What you need to know
A major supply-chain attack compromises federal agencies as well as major tech companies. A second attack reportedly targeted systems running SolarWinds software directly.
Feb. 3, 2021 5:06 a.m. PT
US Intelligence agencies have said Russia is responsible for a major hacking campaign striking federal agencies and major tech companies
Angela Lang/CNET
A sophisticated malware campaign attributed to Russian intelligence has affected local, state and federal agencies in the US in addition to private companies including Microsoft. Following security researchers' analysis in December that a second group was likely using SolarWinds software to target organizations, Reuters reported Tuesday that government officials believe a group of suspected Chinese hackers was responsible for a series of breaches at multiple federal agencies.
The suspected Chinese hack was completely separate from the massive breach announced in December, which reportedly compromised an email system used by senior leadership at the Treasury Department and systems at several other federal agencies. That series of breaches began in March 2020 when hackers compromised IT management software from SolarWinds.
Austin, Texas-based SolarWinds sells software that lets an organization see what's happening on its computer networks. In the Russia-attributed attack, hackers inserted malicious code into an update of that software platform, which is called Orion. Around 18,000 SolarWinds customers installed the tainted update onto their systems, the company said. The compromised update has had a sweeping impact, the scale of which keeps growing as new information emerges.
In a joint statement on Dec. 12, US national security agencies called the breach "significant and ongoing." According to an analysis by Microsoft and security firm FireEye, both of which were infected, the malware gives hackers broad reach into impacted systems. By contrast, the reported hacking attack from the suspected Chinese group didn't infiltrate SolarWinds' systems, and instead gained access to its target's systems and then exploited a vulnerability in the Orion software running there.
Microsoft said it had identified more than 40 customers that were targeted in the Russia-attributed hack. It's unknown how many government agencies were affected by the second hacking campaign. More information is likely to emerge about the compromises and their aftermath. Here's what you need to know about the hacks:
How did hackers sneak malware into a software update?
Hackers managed to access a system that SolarWinds uses to put together updates to its Orion product, the company explained in a Dec. 14 filing with the SEC. From there, they inserted malicious code into otherwise legitimate software update. This is known as a supply-chain attack because it infects software as it's under assembly.
It's a big coup for hackers to pull off a supply-chain attack because it packages their malware inside a trusted piece of software. Hackers typically have to exploit unpatched software vulnerabilities on their targets' systems to gain access, or trick individual targets into downloading malicious software with a phishing campaign. With a supply chain attack, the hackers could rely on several government agencies and companies to install the Orion update at SolarWinds' prompting.
The approach is especially powerful in this case because thousands of companies and government agencies around the world reportedly use the Orion software. With the release of the tainted software update, SolarWinds' vast customer list became potential hacking targets.
Is this the only hacking campaign exploiting SolarWinds software?
SolarWinds has also come under scrutiny for vulnerabilities in its software. These are coding errors and aren't the result of attackers entering SolarWinds systems to implant malware. Instead, hackers must access victim systems and then exploit the flaws in Orion software running there.
In December, security researchers said forensic investigations of Orion software on systems affected by the tainted update also showed signs that a completely distinct group of attackers was also targeting organizations through Orion. On Feb. 2, Reuters reported that government officials believe a group of suspectred Chinese hackers had hacked federal government agencies using a software flaw in Orion. A spokesman for the US Department of Agriculture's National Finance Center disputed Reuters' report that hackers had breached its systems.
On Feb. 3, researchers from cybersecurity firm Trustwave released information on three vulnerabilities in SolarWinds' software products. The bugs have been patched, and there's no indication they were used in any hacking attacks.
What do we know about Russian involvement in the compromise of SolarWinds' systems?
US intelligence officials have publicly blamed the supply-chain attack targeting SolarWinds' internal systems on Russia. The FBI and NSA joined the Cybersecurity and Infrastructure Security Agency and the Office of the Director of National Intelligence on Jan. 5 in saying the hack was "likely Russian in origin," but stopped short of naming a specific hacking group or Russian government agency as being responsible.
The joint intelligence statement followed remarks from then-Secretary or State Mike Pompeo in a Dec. 18 interview in which he attributed the hack to Russia. Additionally, news outlets had cited government officials throughout the previous week who said a Russian hacking group is believed to be responsible for the malware campaign. This countered speculation by then-President Donald Trump that China might be behind the attack.
SolarWinds and cybersecurity firms have attributed the hack to "nation-state actors" but haven't named a country directly.
In a Dec. 13 statement on Facebook, the Russian embassy in the US denied responsibility for the SolarWinds hacking campaign. "Malicious activities in the information space contradict the principles of the Russian foreign policy, national interests and our understanding of interstate relations," the embassy said, adding, "Russia does not conduct offensive operations in the cyber domain."
Nicknamed APT29 or CozyBear, the hacking group pointed to by news reports has previously been blamed for targeting email systems at the State Department and White House during the administration of President Barack Obama. It was also named by US intelligence agencies as one of the groups that infiltrated the email systems of the Democratic National Committee in 2015, but the leaking of those emails isn't attributed to CozyBear. (Another Russian agency was blamed for that.)
More recently, the US, UK and Canada have identified the group as responsible for hacking efforts that tried to access information about COVID-19 vaccine research.
Which government agencies were affected by the tainted update?
According to reports from Reuters, The Washington Post and The Wall Street Journal, the update containing malware affected the US departments of Homeland Security, State, Commerce and Treasury, as well as the National Institutes of Health. Politico reported on Dec. 17 that nuclear programs run by the US Department of Energy and the National Nuclear Security Administration were also targeted.
Reuters reported on Dec. 23 that CISA has added local and state governments to the list of victims. According to CISA's website, the agency is "tracking a significant cyber incident impacting enterprise networks across federal, state, and local governments, as well as critical infrastructure entities and other private sector organizations."
It's still unclear what information, if any, was stolen from government agencies, but the amount of access appears to be broad.
Though the Energy Department and the Commerce Department and Treasury Department have acknowledged the hacks, there's no official confirmation that other specific federal agencies have been hacked. However, the Cybersecurity and Infrastructure Security Agency put out an advisory urging federal agencies to mitigate the malware, noting that it's "currently being exploited by malicious actors."
In a statement on Dec. 17, then-President-elect Joe Biden said his administration would "make dealing with this breach a top priority from the moment we take office."
Why is the supply-chain hack a big deal?
In addition to gaining access to several government systems, the hackers turned a run-of-the-mill software update into a weapon. That weapon was pointed at thousands of groups, not just the agencies and companies that the hackers focused on after they installed the tainted Orion update.
Microsoft President Brad Smith called this an "act of recklessness" in a wide-ranging blog post on Dec. 17 that explored the ramifications of the hack. He didn't directly attribute the hack to Russia but described its previous alleged hacking campaigns as proof of an increasingly fraught cyber conflict.
"This is not just an attack on specific targets," Smith said, "but on the trust and reliability of the world's critical infrastructure in order to advance one nation's intelligence agency." He went on to call for international agreements to limit the creation of hacking tools that undermine global cybersecurity.
Former Facebook cybersecurity chief Alex Stamos said Dec. 18 on Twitter that the hack could lead to supply-chain attacks becoming more common. However, he questioned whether the hack was anything out of the ordinary for a well-resourced intelligence agency.
"So far, all of the activity that has been publicly discussed has fallen into the boundaries of what the US does regularly," Stamos tweeted.
Were private companies or other governments hit with the malware?
Yes. Microsoft confirmed on Dec. 17 that it found indicators of the malware in its systems, after confirming several days earlier that the breach was affecting its customers. A Reuters report also said that Microsoft's own systems were used to further the hacking campaign, but Microsoft denied this claim to news agencies. On Dec. 16, the company began quarantining the versions of Orion known to contain the malware, in order to cut hackers off from its customers' systems.
FireEye also confirmed that it was infected with the malware and was seeing the infection in customer systems as well.
On Dec. 21, The Wall Street Journal said it had uncovered at least 24 companies that had installed the malicious software. These include tech companies Cisco, Intel, Nvidia, VMware and Belkin, according to the Journal. The hackers also reportedly had access to the California Department of State Hospitals and Kent State University.
It's unclear which of SolarWinds' other private sector customers saw malware infections. The company's customer list includes large corporations, such as AT&T, Procter & Gamble and McDonald's. The company also counts governments and private companies around the world as customers. FireEye says many of those customers were infected.
Correction, Dec. 23: This story has been updated to clarify that SolarWinds makes IT management software. An earlier version of the story misstated the purpose of its products.
First published on Dec. 18, 2020 at 5:00 a.m. PT.
Comments
Post a Comment