SolarWinds: atacul care a infiltrat 18.000 de organizații printr-o actualizare de software

2020

În decembrie 2020, firma de securitate cibernetică FireEye a descoperit ceva alarmant: fusese spartă. Dar aceasta nu era o breșă tipică. Atacatorii nu exploataseră o vulnerabilitate în sistemele FireEye. Intraseră printr-o actualizare de software, de la un furnizor de încredere numit SolarWinds.

SolarWinds produce Orion, o platformă de monitorizare a rețelelor folosită de peste 30.000 de organizații din întreaga lume, inclusiv majoritatea companiilor Fortune 500 și numeroase agenții guvernamentale americane. Este genul acela de software de infrastructură plictisitor, dar esential, la care nimeni nu se gândește.

Atacatorii, atribuiți ulterior serviciului de informații SVR al Rusiei (APT29/Cozy Bear), compromiseseră sistemul de build al SolarWinds. Au introdus cod malițios în codul sursă al Orion într-un mod practic indetectabil. Când SolarWinds a compilat și distribuit actualizările de rutină în martie 2020, 18.000 de clienți au instalat automat portița secretă.

Rafinamentul a fost extraordinar. Codul malițios (denumit SUNBURST) a stat inactiv timp de două săptămâni după instalare înainte de a se activa. Imita traficul de rețea legitim al Orion. Verifica prezența instrumentelor de securitate și a mediilor de analiză înainte de a opera. Comunica cu serverele de comandă folosind nume de domeniu care arătau ca trafic normal de servicii cloud.

Printre victimele confirmate: Departamentul Trezoreriei SUA, Departamentul Comerțului (inclusiv NOAA), Departamentul de Securitate Internă, părți din Pentagon, Departamentul Energiei (inclusiv Administrația Națională pentru Securitatea Nucleară) și zeci de corporații majore.

Atacatorii au avut acces timp de aproximativ 9 luni înainte de a fi detectați. Nu au declanșat nicio alarmă. Nu au furat bani și nu au desfășurat ransomware. Au colectat în liniște informații, citind emailuri, accesând documente, cartografiind rețele. Spionaj clasic.

Implicațiile au zguduit industria securității cibernetice. Dacă nu poți avea încredere în actualizările tale de software, în ce mai poți avea încredere? SolarWinds făcea totul „corect”: aveau practici de securitate, revizuiri de cod, build-uri semnate. Dar atacatorii au compromis procesul în sine, reluând avertismentul lui Ken Thompson din 1984, „Trusting Trust”.

SolarWinds a accelerat o schimbare fundamentală către arhitectura de securitate „zero trust”, principiul conform căruia niciun utilizator, dispozitiv sau actualizare de software nu ar trebui să fie automat de încredere, chiar dacă provine din interiorul rețelei tale. A declanșat, de asemenea, o dezbatere serioasă despre securitatea lanțului de aprovizionare al software-ului, o problemă care rămâne în mare parte nerezolvată.