搜索

[17735] 2020-12-23_SolarWinds事件启示录供应链攻击可能会晚到，但不会缺席

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2020-12-23_SolarWinds事件启示录供应链攻击可能会晚到，但不会缺席 S o l a r W i n d s   事 件 启 示 录   |   供 应 链 攻 击 可 能 会 晚 到 ， 但 不 会 缺 席 G e e k P w n   2 0 2 0 - 1 2 - 2 3 太 阳 风 轻 易 不 爆 发 ， 一 爆 发 便 是 “ 地 动 山 摇 ” 。 这 是   P W N   君 看 完 十 几 篇 关 于   S o l a r W i n d s   的 报 道 之 后 发 自 肺 腑 的 感 叹 。 1 2   月   8   日 ， 火 眼 （ F i r e   E y e ） 宣 布 遭 受 攻 击 ， 红 队 （ 模 拟 攻 击 ） 武 器 库 被 盗 。 随 后 微 软 、 谷 歌 等 大 型 企 业 以 及 美 国 政 府 机 构   F B I   立 刻 介 入 进 行 调 查 。 此 事 正 式 揭 开 了 整 个   S o l a r W i n d s   供 应 链 攻 击 的 冰 山 一 角 。 * 文 中 时 间 均 以 各 机 构 、 企 业 公 开 时 的 美 国 东 部 时 间 为 准 。
席 卷 全 美 的 席 卷 全 美 的   S u n b u r s t   攻 攻 击 击 在 火 眼 火 眼   1 2   月 月   8   日 日 公 开 的 博 客 文 章 中 ， 其   C E O   K e v i n   M a n d i a   就 声 称 攻 击 者 是 有 国 家 民 族 背 景 的 黑 客 组 织 ， 且 攻 击 方 式 新 颖 、 高 度 复 杂 。 在 调 查 中 还 发 现 ， 攻 击 者 特 意 搜 集 了 火 眼 部 分 政 府 用 户 的 信 息 。 1 2   月   1 3   日 ， 火 眼 公 司 将 攻 击 称 为   U N C 2 4 5 2   攻 击 事 件 ， 称 攻 击 的 目 标 包 括 但 不 限 于 全 球 范 围 内 的 “ 公 共 和 私 立 机 构 ” ， 且 自 自   2 0 2 0   年 年   3   月 起 月 起 就 已 经 正 式 开 始 ， 一 直 持 续 至 今 。 还 有 调 查 显 示 ， 几 个 受 害 者 的 系 统 中 发 现 的 恶 意   S o l a r W i n d s O r i o n   软 件 版 本 可 追 溯 到 可 追 溯 到   2 0 1 9   年 年   1 0   月 月 ， 但 至 今 没 有 发 现 这 些 系 统 感 染 恶 意 软 件 之 后 发 生 过 进 一 步 攻 击 的 迹 象 。 因 此 ， 调 查 人 员 人 员 认 为 当 时 的 操 作 可 能 是 正 式 攻 击 的 预 演 。 1 2   月   1 4   日 ， 媒 体 大 规 模 报 道   S o l a r W i n d s   遭 受 攻 击 ， 影 响 到   1 . 8   万 用 户 。 黑 客 组 织 入 侵   S o l a r W i n d s   旗 下   O r i o n   I T 管 理 软 件 的 更 新 服 务 器 并 植 入 恶 意 代 码 （ 后 门 ） ， 进 而 长 期 入 侵 、 监 视 受 影 响 机 构 。 也 就 是 说 ， 这 是 一 起 通 过 第 三 方 供 应 商 简 介 入 侵 目 标 机 构 的 典 型 供 应 链 攻 击 。 火 眼 公 司 将 恶 意 软 件 命 名 为 火 眼 公 司 将 恶 意 软 件 命 名 为 “ 日 爆 （ 日 爆 （ S u n b u r s t ） ） ” ， 相 应 地 ， 攻 击 就 称 为 ， 相 应 地 ， 攻 击 就 称 为 “ 日 日 爆 攻 击 爆 攻 击 ” 。 微 软 则 将 该 恶 意 软 件 命 名 为 。 微 软 则 将 该 恶 意 软 件 命 名 为   S o l o r i g a t e ， 并 为 ， 并 为   M i c r o s o f t   D e f e n d e r   防 病 毒 软 件 添 加 了 检 测 规 则 。 防 病 毒 软 件 添 加 了 检 测 规 则 。
随 后 ， 多 个 美 国 政 府 部 门 及 多 家 财 富 五 百 强 企 业 纷 纷 确 认 受 到 攻 击 影 响 或 检 查 出 系 统 中 存 在 木 马 化 的   S o l a r W i n d s   O r i o n 软 件 。 美 国 国 务 院 、 五 角 大 楼 、 国 土 安 全 部 （ 美 国 国 务 院 、 五 角 大 楼 、 国 土 安 全 部 （ D H S ） 、 商 务 部 、 财 政 部 、 司 法 部 、 网 络 安 全 和 基 础 设 施 局 ） 、 商 务 部 、 财 政 部 、 司 法 部 、 网 络 安 全 和 基 础 设 施 局 （ （ C I S A ） 、 美 国 疾 病 控 制 与 预 防 中 心 （ ） 、 美 国 疾 病 控 制 与 预 防 中 心 （ C D C ） 、 美 国 卫 生 署 国 立 卫 生 研 究 院 （ ） 、 美 国 卫 生 署 国 立 卫 生 研 究 院 （ N I H ） 、 美 国 商 务 部 国 家 电 信 和 信 ） 、 美 国 商 务 部 国 家 电 信 和 信 息 管 理 局 （ 息 管 理 局 （ N T I A ） 、 美 国 能 源 部 （ ） 、 美 国 能 源 部 （ D O E ） 、 监 管 国 家 核 武 器 储 备 的 国 家 核 安 全 管 理 局 （ ） 、 监 管 国 家 核 武 器 储 备 的 国 家 核 安 全 管 理 局 （ N N S A ） 等 美 国 政 府 部 门 ； ） 等 美 国 政 府 部 门 ； 微 软 （ 微 软 （ M i c r o S o f t ） 、 英 特 尔 （ ） 、 英 特 尔 （ I n t e l ） 、 英 伟 达 （ ） 、 英 伟 达 （ N v i d i a ） 、 思 科 （ ） 、 思 科 （ C i s c o ） 、 ） 、 V M W a r e 、 德 勤 （ 、 德 勤 （ D e l o i t t e ） 等 世 界 ） 等 世 界 五 百 强 机 构 纷 纷 在 列 。 五 百 强 机 构 纷 纷 在 列 。 1 2   月 月   1 5   日 ， 日 ， 美 国 国 家 安 全 事 务 助 理 美 国 国 家 安 全 事 务 助 理 罗 伯 特 · 奥 布 莱 恩 缩 短 访 问 行 程 ， 从 巴 黎 返 回 华 盛 顿 ， 协 助 处 理 这 一 事 件 ； 1 2   月 月   1 7   日 ， 微 软 日 ， 微 软 发 布 声 明 称 在 内 部 系 统 中 发 现 了 木 马 化 的   S o l a r W i n d s   O r i o n   应 用 程 序 ， 但 尚 未 发 现 黑 客 利 用 其 入 侵 生 产 系 统 、 攻 击 客 户 ； 1 2   月 月   1 7   日 ， 日 ， P o l i t i c o   报 道 称 美 国 能 源 部 及 国 家 核 安 全 局 美 国 能 源 部 及 国 家 核 安 全 局 受 到 攻 击 影 响 ， 在 联 邦 能 源 管 理 委 员 会 、 能 源 部 相 关 国 家 实
验 室 、 国 家 安 全 局 的 安 全 运 输 办 公 室 等 多 个 网 络 系 统 中 发 现 可 疑 活 动 ； 1 2   月 月   1 8   日 ， 日 ， V M W a r e   回 应 称 在 内 部 系 统 检 测 到 带 有 恶 意 代 码 的   S o l a r W i n d s   O r i o n   程 序 ，   但 尚 未 发 现 攻 击 痕 迹 ； 1 2   月 月   2 1   日 ， 英 特 尔 日 ， 英 特 尔 回 应 称 正 在 对 内 部 系 统 进 行 调 查 ，   尚 未 发 现 有 证 据 或 迹 象 表 明 系 统 受 到 影 响 ； 1 2   月 月   2 1   日 ， 美 国 参 议 院 财 政 委 员 会 日 ， 美 国 参 议 院 财 政 委 员 会 最 高 民 主 党 人 怀 登 （ R o n   W y d e n ） 称 财 政 部 财 政 部 自   7   月 起 就 遭 遇 严 重 入 侵 ， 严 重 程 度 尚 不 清 楚 。 财 政 部 数 十 个 电 子 邮 件 账 户 被 黑 ， 高 级 官 员 系 统 遭 入 侵 ， 但 尚 未 查 清 被 窃 取 的 信 息 。 调 查 显 示 ， 除 S o l a r W i n d s 外 ， 财 政 部 遭 遇 的 攻 击 可 能 还 涉 及 其 他 攻 击 向 量 ； 1 2   月 月   2 1   日 日 ， 华 尔 街 日 报 报 道 称 ， 至 少 有 至 少 有   2 4   家 家 企 业 企 业 确 认 系 统 中 存 在 感 染 恶 意 代 码 的   S o l a r W i n d s   软 件 ， 包 括 英 伟 英 伟 达 、 达 、 思 科 、 德 勤 、 销 售 思 科 、 德 勤 、 销 售   W i F i   路 由 器 和 网 络 设 备 的 贝 尔 金 路 由 器 和 网 络 设 备 的 贝 尔 金 等 ； 此 外 ， 美 国 加 利 福 利 亚 州 立 医 院 以 及 肯 特 州 立 大 美 国 加 利 福 利 亚 州 立 医 院 以 及 肯 特 州 立 大 学 学 也 同 样 受 到   S u n b u r s t   攻 击 影 响 ； 1 2   月 月   2 2   日 ， 调 查 发 现 有 另 一 个 日 ， 调 查 发 现 有 另 一 个   A P T   组 织 在 利 用 组 织 在 利 用   S o l a r W i n d s   发 起 攻 击 发 起 攻 击 。 新 发 现 的 恶 意 软 件 名 为   S u p e r N o v a ， 是 一 个 植 入   O r i o n   网 络 和 应 用 程 序 监 视 平 台 代 码 中 的   W e b s h e l l ， 可 被 攻 击 者 利 用 ， 在 运 行 恶 意   O r i o n   版 本 软 件 的 系 统 中 执 行 任 意 代 码 。 微 软 的 调 查 文 档 指 出 ， 与 S u n b u r s t   D L L 不 同 ， S u p e r n o v a   D L L 并 没 有 使 用 合 法 的 S o l a r W i n d s 数 字 证 书 进 行 签 名 ， 这 表 明 ， S u p e r n o v a   是 另 一 组 攻 击 者 的 工 具 ； … … 隐 患 重 重 的 隐 患 重 重 的 S o l a r W i n d s 多 份 调 查 报 告 和 声 明 都 认 为 是 攻 击 者 技 术 高 明 才 造 成 了 此 次 大 规 模 攻 击 事 件 ， 但 随 着 调 查 的 深 入 ， 研 究 人 员 发 现 S o l a r W i n d s   自 身 的 的 安 全 防 御 也 非 常 薄 弱 。
早 在   2 0 1 7   年 ， 安 全 研 究 人 员 就 发 现 有 黑 客 在 地 下 论 坛 出 售 对   S o l a r W i n d s   计 算 机 的 访 问 渠 道 ； 2 0 1 9   年   安 全 研 究 人 员   V i n o t h   K u m a r   发 现   S o l a r W i n d s   更 新 服 务 器 使 用 了 一 个 非 常 弱 的 密 码 非 常 弱 的 密 码 — — s o l a r w i n d s 1 2 3 ， 利 用 这 个 密 码 ， 任 何 人 都 可 以 放 文 S o l a r W i n d s 的 更 新 服 务 器 ， 他 为 此 向   S o l a r   W i n d s   发 出 了 警 告 ； 就 在 上 周 ，   安 全 研 究 员 发 现   S o l a r W i n d s   得 知 软 件 被 植 入 木 马 后 ， 并 未 第 一 时 间 处 理 ， 随 后 几 天 其 官 方 站 点 仍 存 在 恶 官 方 站 点 仍 存 在 恶 意 更 新 版 本 的 下 载 渠 道 意 更 新 版 本 的 下 载 渠 道 ； 前 几 天 ， 研 究 人 员 还 发 现   S o l a r W i n d s   某 个 产 品 支 持 页 面 建 议 用 户 禁 止 杀 毒 软 件 扫 描   O r i o n   的 产 品 文 件 夹 … … 聊 胜 于 无 的 缓 解 措 施 聊 胜 于 无 的 缓 解 措 施 根 据 美 国 计 算 机 安 全 应 急 响 应 组 （ U S   C E R T ） 的 分 析 ， 如 果 用 户 安 装 、 运 行 了 以 下 版 本 的   S o l a r W i n d s   O r i o n ， 就 有 可 能 受 到 此 次 攻 击 的 影 响 ： 2 0 1 9 . 4   H F   5 2 0 2 0 . 2   –   2 0 2 0 . 2   H F   1
U S   C E R T   建 议 立 刻 打 补 丁 并 修 改 所 有 与 O r i o n 软 件 相 关 的 账 号 密 码 、 分 析 O r i o n 管 理 的 所 有 网 络 设 施 的 网 络 配 置 。 1 2   月   1 3   日 ， 美 国 网 络 安 全 和 基 础 设 施 局 （ C I S A ） 发 布   2 1 - 0 1   号 应 急 指 导 公 告 ， 要 “ 所 有 美 国 联 邦 机 构 审 查 其 网 络 是 否 存 在 受 到 破 坏 的 迹 象 , 并 立 即 断 开 所 有 S o l a r W i n d s 产 品 的 网 络 连 接 ” ; 1 2   月 月   1 7   日 ， 日 ， S o l a r W i n d s   发 布 了 更 新 的 补 丁 版 本 发 布 了 更 新 的 补 丁 版 本 ； F i r e E y e   给 出 了 缓 解 措 施 的 建 议 ， 并 发 布   G i t H u b   检 测 工 具 页 面 （ h t t p s : / / g i t h u b . c o m / f i r e e y e / s u n b u r s t _ c o u n t e r m e a s u r e s ） ； 微 软 宣 布   M i c r o s o f t   D e f e n d e r   软 件 将 开 始 阻 止 已 知 恶 意   S o l a r W i n d s   安 装 软 件 ； 1 2   月 月   1 8   日 ， 日 ， F i r e E y e 、 微 软 、 、 微 软 、 G o D a d d y   联 合 发 布 一 项 联 合 发 布 一 项 “ 终 止 开 关 终 止 开 关 ” ， 声 称 可 以 阻 断 已 经 部 署 的 恶 意   S u n b u r s t   后 与 C 2   服 务 器 之 间 的 通 信 ， 以 缓 解 攻 击 的 后 果 。 不 论 是 断 网 还 是 使 用 “ 终 止 开 关 ” ， 在 一 定 程 度 上 都 是 有 效 的 。 但 是 ， 如 果 攻 击 者 横 向 移 动 ， 建 立 了 其 他 后 门 ， 这 两 项 操 作 就 无 法 起 效 。 启 示 录 启 示 录 可 以 预 见 ， 随 着 调 查 的 深 入 ， 此 次   S o l a r W i n d s   供 应 链 攻 击 事 件 的 影 响 范 围 和 严 重 程 度 将 进 一 步 扩 大 。 按 照 以 往 经 验 ， 找 出 所 有 受 害 者 并 完 全 阻 止 黑 客 对 被 入 侵 网 络 的 访 问 几 乎 不 太 可 能 ， 就 算 能 做 到 ， 也 是 困 难 重 重 。 就 像 治 疗 一 个 癌 症 病 人 一 样 ， 除 非 在 早 期 未 扩 散 时 能 杀 死 所 有 癌 细 胞 ， 否 则 就 算 病 情 缓 解 ， 也 要 在 接 下 来 的 日 子 里 小 心 翼 翼 、 战 战 兢 兢 ， 时 刻 担 心 复 发 。 且 攻 击 者 依 旧 可 能 利 用 此 前 种 下 的 木 马 进 行 秘 密 攻 击 ， 持 续 获 取 信 息 ， 甚 至 潜 伏 直 至 未 来 某 个 关 键 节 点 再 次 集 中 爆 发 ， 造 成 更 大 破 坏 。
理 论 上 来 说 ， 要 彻 底 摆 脱 攻 击 的 影 响 ， 可 以 从 头 开 始 重 建 整 个 可 以 从 头 开 始 重 建 整 个   I T   系 统 系 统 ， 而 我 们 都 知 道 ， 这 是 多 么 举 步 维 艰 。 一 旦 重 建 ， 很 可 能   2 0 2 0   年   3   月 至 今 的 所 有 数 据 都 要 丢 弃 ， 哪 怕 是 备 份 也 可 能 存 在 数 据 已 被 篡 改 的 隐 患 。 S o l a r W i n d s   事 件 不 是 第 一 个 也 不 会 是 最 后 一 个 。 这 起 影 响 范 围 广 、 潜 伏 时 间 长 、 隐 蔽 性 强 、 高 度 复 杂 的 供 应 链 攻 击 及 其 背 后 训 练 有 素 的 攻 击 组 织 ， 也 给 所 有 企 业 敲 响 了 警 钟 。 2 0 2 0   年   6   月 ， 海 外 网 络 安 全 服 务 商   B l u e V o y a n t   曾 发 起 一 项 调 查 ， 结 果 显 示   8 0 %   的 受 访 企 业 都 曾 因 供 应 商 遭 受 攻 击 的 受 访 企 业 都 曾 因 供 应 商 遭 受 攻 击 而 发 生 数 据 泄 露 而 发 生 数 据 泄 露 。 而 埃 森 哲   2 0 1 9   年 的 一 项 调 查 则 表 明 ， 因 供 应 商 而 发 生 数 据 泄 露 的 受 访 企 业 占 比 4 0 % 。 E S G   和 C r o w s t r i k e   2 0 1 9   年 发 布 的 供 应 链 安 全 报 告 显 示 ， 9 0 ％ 的 公 司 “ 没 有 做 好 准 备 ” 应 对 供 应 链 网 络 攻 击 。 当 前 ， 大 部 分 信 息 化 系 统 都 依 赖 于 不 同 的 供 应 商 。 因 此 ， 尽 管   S o l a W i n d s   主 要 影 响 的 是 美 国 ， 其 他 暂 未 受 影 响 的 企 业 也 该 借 此 反 思 自 己 的 安 全 系 统 性 能 以 及 所 使 用 的 第 三 方 服 务 。 假 设 第 三 方 供 应 商 出 现 安 全 问 题 ， 自 己 的 预 警 系 统 足 够 反 思 自 己 的 安 全 系 统 性 能 以 及 所 使 用 的 第 三 方 服 务 。 假 设 第 三 方 供 应 商 出 现 安 全 问 题 ， 自 己 的 预 警 系 统 足 够 及 时 码 ？ 自 己 的 组 织 恢 复 力 足 够 强 吗 ？ 是 否 有 备 用 的 安 全 方 案 ？ 及 时 码 ？ 自 己 的 组 织 恢 复 力 足 够 强 吗 ？ 是 否 有 备 用 的 安 全 方 案 ？ 微 软 在 分 析 文 档 中 指 出 ， 未 来 应 对 此 类 攻 击 需 要 各 方 通 力 合 作 ， 不 仅 要 互 相 分 享 、 分 析 威 胁 情 报 ， 还 要 加 强 国 际 和 各 国 互 相 分 享 、 分 析 威 胁 情 报 ， 还 要 加 强 国 际 和 各 国
关 于 网 络 空 间 的 法 律 法 规 ， 更 要 对 确 认 来 源 的 攻 击 事 件 背 后 的 民 族 国 家 黑 客 给 予 强 力 震 慑 关 于 网 络 空 间 的 法 律 法 规 ， 更 要 对 确 认 来 源 的 攻 击 事 件 背 后 的 民 族 国 家 黑 客 给 予 强 力 震 慑 。 回 顾 这 些 年 网 络 安 全 行 业 的 发 展 ， 不 难 发 现 ， 多 个 机 构 和 组 织 已 经 开 始 在 尝 试 合 作 共 赢 ， 而 大 量 白 帽 黑 客 、 安 全 从 业 者 也 在 一 次 次 的 测 试 、 攻 防 演 练 与 实 践 中 守 护 着 网 络 安 全 。 只 是 ， 道 阻 且 长 ， 仍 需 上 下 求 索 。 在 多 个 媒 体 平 台 的 报 道 中 ， 此 次 在 多 个 媒 体 平 台 的 报 道 中 ， 此 次   S u n b u r s t   攻 击 事 件 都 被 描 述 为 攻 击 事 件 都 被 描 述 为 “ 史 上 最 严 重 史 上 最 严 重 ” 供 应 链 攻 击 ， 造 成 的 影 响 可 能 会 持 续 供 应 链 攻 击 ， 造 成 的 影 响 可 能 会 持 续 到 即 将 到 来 的 到 即 将 到 来 的   2 0 2 1   年 。 年 。 S u n b u r s t   余 波 未 平 ， 还 可 能 造 成 哪 些 影 响 ？ 到 余 波 未 平 ， 还 可 能 造 成 哪 些 影 响 ？ 到   2 0 2 1   年 的 年 尾 ， 年 的 年 尾 ， S u n b u r s t   依 然 会 是 依 然 会 是 “ 史 上 史 上 之 最 之 最 ” 吗 ？ 此 时 此 刻 ， 我 们 无 法 给 出 答 案 。 吗 ？ 此 时 此 刻 ， 我 们 无 法 给 出 答 案 。 2 0 2 0   年 年 末 总 结 时 ， 有 网 友 发 出 的 灵 魂 之 问 ： “ 如 果 充 满 动 荡 和 灾 难 的   2 0 2 0   年 只 是   2 0 2 1   年 的 序 曲 ， 你 还 会 如 此 期 待 新 年 的 到 来 吗 ？ ” 很 多 人 因 此 陷 入 沉 思 。 而 不 论 答 案 是 肯 定 还 是 否 定 ， 历 史 的 车 轮 总 会 滚 滚 向 前 ， 很 多 时 候 我 们 始 料 未 及 ， 只 能 在 不 断 的 计 划 和 变 化 中 见 招 拆 招 ， 迎 难 而 上 。 于 安 全 如 此 ， 于 生 活 ， 亦 如 此 。 * 参 考 来 源 ： Z D N e t ;   W S J ;   T h e   V e r g e ;   M i c r s o f t ;   C I S A ； F i r e e y e 等 部 分 分 析 文 档 部 分 分 析 文 档 h t t p s : / / c y b e r . d h s . g o v / e d / 2 1 - 0 1 / # s u p p l e m e n t a l - g u i d a n c e h t t p s : / / u s - c e r t . c i s a . g o v / n c a s / a l e r t s / a a 2 0 - 3 5 2 a
h t t p s : / / b l o g s . m i c r o s o f t . c o m / o n - t h e - i s s u e s / 2 0 2 0 / 1 2 / 1 7 / c y b e r a t t a c k s - c y b e r s e c u r i t y - s o l a r w i n d s - f i r e e y e / h t t p s : / / w w w . c h a n n e l e 2 e . c o m / t e c h n o l o g y / s e c u r i t y / s o l a r w i n d s - o r i o n - b r e a c h - h a c k i n g - i n c i d e n t - t i m e l i n e - a n d - u p d a t e d - d e t a i l s / h t t p s : / / w w w . f i r e e y e . c o m / b l o g / t h r e a t - r e s e a r c h / 2 0 2 0 / 1 2 / e v a s i v e - a t t a c k e r - l e v e r a g e s - s o l a r w i n d s - s u p p l y - c h a i n - c o m p r o m i s e s - w i t h - s u n b u r s t - b a c k d o o r . h t m l 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理