Замесиха и Китай в атаката към SolarWinds

И миналата седмица имаше развитие по това, което спокойно може да определим като хакерската атака на 2020 – пробивът във вътрешните мрежи на IT компанията SolarWinds. Според източници на Reuters, пожелали анонимността им да бъде запазена, китайски хакери също са компрометирали мрежата на американската компания, в отделна от оригиналния пробива атака.

Както знаете, още от самото начало, както Reuters, така и други медии и официални представители на властта във Вашингтон посочиха хакери, които са близки до Кремъл за виновници за атаката, при която 18 000 клиенти на SolarWinds бяха засегнати. Сред тях фигурират имената на големи компании от ранга на VMware и Microsoft, федерални и държавни агенции и министерства. Самите FireEye/Mandiant, които са сред основните ръководители на разследването на инцидента не прибързаха с приписването на отговорност на конкретна страна, заявявайки, че APT (Advanced Persistent Threat) групата, която е поставила SUNBURST, бекдор компонента, дошъл като обновление за Orion, не е известна. Друга компания за сигурност – Kaspersky – намери сходства в използваните от UNC2452 (каквото име дадоха на хакерската група от FireEye) с известна руска кибершпионска организация.

По-рано този месец, Reuters разкри, че Федералното бюро за разследване на САЩ (ФБР) е открило, че Националния финансов център, федерална агенция, отговаряща за ведомостите на федералните служители и оперираща като част от американското министерство на земеделието, също е засегнато от атаката към SolarWinds. Но не тази, при която неизвестна страна доставя фалшиво обновление за Orion, един от основните софтуерни продукти на SolarWinds. Става дума за експлоатирането на уязвимост в програмата, която компанията адресира в края на годината.

Ако информацията на Reuters за тази конкретна атака е вярна, то последиците за засегнатите от това, може да са катастрофални. Центърът е отговорен за управлението на ведомостите на множество правителствени агенции на САЩ, между които ФБР, Вътрешният департамент, Вътрешна сигурност, държавната хазна и др. Сред данните, които съхранява и обработва националния финансов център са номерата на социалните осигуровки на множество служители, лични телефонни номера, физически и имейл адреси, банкова информация и др., като агенцията посочва на сайта си, че предоставя услуги на над 600 000 федерални служители.

От самото земеделско министерство на САЩ изпращат противоречиви сигнали, като Reuters твърдят, че в имейл, изпратен им от говорител на институцията се заявява, че лицата и организациите, засегнати в конкретната атака са уведомени за случая. В отделно изявление от страна на министерството обаче, се заявява, че Центърът не е пострадал от хакерска атака, свързана със SolarWinds. От китайското външно министерство коментират за медията, че приписването на кибератаки е сложен технически въпрос и всяко едно изявление в подобна посока би трябвало да бъде подкрепено от доказателство. Както в приписването на отговорност на руската страна, така и сега, Reuters не предоставя каквито и да е доказателства, а единствено свидетелствата на анонимни източници. „Китай решително се противопоставя и се бори с всяка форма на кибератаки и кражба“, заявяват в официално изявление от китайското външно министерство. SolarWinds заявяват, че са наясно с втори инцидент, който не е свързан с първия, както и това, че има засегнат техен клиент, но не са намерили достатъчно доказателства, за да бъде приписана отговорност за тази атака. Тя не е свързана с компрометирането на вътрешната мрежа на компанията, а с проблем в техен продукт, който е бил адресиран през декември.