SolarWinds 事件爆发前半年,美司法部就检测到但未重视

SolarWinds 事件爆发前半年,美司法部就检测到但未重视_第1张图片 聚焦源代码安全,网罗国内外最新资讯!

编译:代码卫士

媒体 WIRED 报道称,美国司法部、Mandiant 和微软在 SolarWinds 事件爆发前六个月就获悉情况,但并未意识到事件的严重性。

SolarWinds 事件爆发前半年,美司法部就检测到但未重视_第2张图片

SolarWinds 事件在2020年12月份公开披露,俄罗斯黑客组织被指攻陷软件厂商 SolarWinds 并在约1.8万家客户所使用的软件中插入后门。遭污染的软件之后感染了至少九家美国联邦机构,包括司法部、国防部、国土安全部以及财政部等,以及科技和安全巨头如微软、Mandiant、英特尔、思科和 Palo Alto Networks。在 Mandiant 公司公布前,黑客至少在网络中停留了四个月到九个月的时间。

WIRED 可证实这起事件实际上是由美国司法部在事件披露前6个月检测到的即在2020年5月检测到,但该事件的影响范围和重要性并未立即显现。据消息来源人士称,当司法部检测到自身其中一台服务器中的异常流量时有了怀疑,该服务器运行的是 SolarWinds 公司制造的 Orion 软件试用版本。系统管理员使用该软件管理和配置网络,当时该软件正在外部和互联网上的不熟悉的网络通信。司法部请 Mandiant 公司帮助判断该服务器是否已被入侵。同时微软公司也参与其中,尽管目前尚不清楚为何微软也会参与调查。

目前尚不清楚美国司法部下属哪个部门遭遇了攻陷事件,但司法管理部门和美国受托人计划也参与了关于该事件的讨论。受托人计划负责监控破产案例和私人受托人的管理。管理部门负责为预算和人力管理、道德、采购和 管理人员提供建议。

调查人员怀疑黑客直接攻陷了司法部服务器,可能是通过利用 Orion 软件中的一个漏洞达成的。虽然他们要求 SolarWinds 公司协助质询,但SolarWinds 公司的工程师未能在代码中找到漏洞。2020年7月,这一谜题仍未解决,调查人员与SolarWinds 公司之间的沟通停止。一个月后,美国司法部购买了 Orion 系统,消息人士表示这说明司法部认为 Orion 套件并未造成进一步的威胁。

一名司法部发言人员证实该事件和调查确有发生,但并未透露调查人员所得出的结论详情。该发言人在邮件中写到,“虽然事件响应和缓解措施已完成,但 FBI 的刑事调查仍然在开展。”WIRED 与消息来源人士证实,Mandiant、微软以及 SolarWinds 公司确实参与了该事件和调查的讨论。这三家公司拒绝就此置评。

美国司法部告知 WIRED 称,事件发生时已告知美国网络安全和基础设施局 (CISA),尽管 NSA 的一名发言人对未收到通知感到遗憾。2020年12月,当公众获悉很多联邦机构也受影响时,司法部或 CISA 均未说明在数月前就已获悉。司法部最初提到,其首席信息官在12月24日发现了攻陷事件。

2020年11月,就在美国司法部完成缓解数月后,Mandiant 公司发现自身也被入侵,并在第二个月将其归咎于其一台服务器上使用的 Orion 软件。调查发现,该软件中包含一个后门,黑客在2020年2月即 SolarWinds 编译 Orion 软件时嵌入了该后门。受影响的 Orion 软件被分发给约1.8万家客户,后者在3月至6月下载,而当时正是司法部发现 Orion 服务器导出异常流量的时间段。不过黑客仅选择一小部分进行间谍活动,之后进一步潜入联邦机构和约100家组织机构包括技术企业、政府机构、国防承包商和智库。

Mandiant 公司在2020年7月28日遭 Orion 软件感染,而在这个时间该公司正在帮助司法部调查此事。当问到,该公司在12月份公开 SolarWinds 供应链事件时为何不同时公开数月前正在政府网络中追踪与 SolarWinds 事件相关的安全事件时,Mandiant 公司的一名发言人只表示,“当我们公开时,我们已经发现了其它受攻陷的客户。”

这一事件强调了机构和行业之间共享信息的重要性,而这正是拜登政府强调的。尽管美国司法部已经告知 CISA,但 NSA 的一名发言人告知 WIRED 称在2021年1月才获悉司法部此前遭攻陷的消息,而这个消息是多家联邦机构的员工在一次会议上共享的。

2021年1月也是美国司法部公开披露 SolarWinds 黑客很可能访问了约3%的 Office 365 邮箱的时间。关于该攻击是否是 SolarWinds 攻击的一部分还是同一伙黑客发起的攻击尚存在争论。6个月之后,司法部表示黑客设法攻陷了27家美国检察官办公室的邮件账户,这些办公室位于加州、纽约、华盛顿特区等地。

司法部在随后发布的一份声明中提到,“为了鼓励透明度并增强国土弹性”,将提供更多新的详情,包括黑客可能在2020年5月7日左右至12月27日期间访问了受陷账户。这些受陷账户包括“在该时间段内从这些账户中发现的所有已发送、已查收以及所存储的邮件和附件”。

负责美国司法部事件的调查人员并未唯一一群发现早期苗头的人员。大概在调查的同一时间,安全公司 Volexity 也正在调查美国某智库的受陷事件并将源头指向该机构所使用的 Orion 服务器。9月份,Palo Alto Networks 公司也发现其 Orion 服务器中的异常活动。Volexity 怀疑客户服务器上可能存在后门但结果并未找到该后门并终止调查。Palo Alto Networks 公司像司法部那样联系 SolarWinds 公司,但SolarWinds 同样未能锁定问题。

美国民主党参议员 Ron Wyden 批评政府未能在早期阻止并检测到 SolarWinds 事件,称需要对美国政府如何响应攻击并错失遏制机会展开调查。他在一份邮件中写到,“俄罗斯的 SolarWinds 事件成功的原因只有一个,那就是美国政府及其行业合作伙伴们的连锁失败行为。迄今为止我未看到政府全面调查并解决这些失败的迹象。联邦政府急需了解事件根因,以便未来及时发现并处理政府所使用的其它软件中的后门。”

SolarWinds 事件爆发前半年,美司法部就检测到但未重视_第3张图片

代码卫士试用地址:https://codesafe.qianxin.com

开源卫士试用地址:https://oss.qianxin.com


推荐阅读

奇安信入选全球《软件成分分析全景图》代表厂商

SolarWinds 平台修复两个高危漏洞

SolarWinds 称将在2月底修复多个高危漏洞

SolarWinds 公司:Web Help Desk 实例正遭攻击

微软:攻击者利用SolarWinds Serv-U 0day发动 Log4j 攻击

SolarWinds 攻击者再次发动供应链攻击

原文链接

https://www.wired.com/story/solarwinds-hack-public-disclosure/

题图:Pixabay License

本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

2c3c0f1f4184aba66edbdf23b7c7fa3d.jpeg

SolarWinds 事件爆发前半年,美司法部就检测到但未重视_第4张图片

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

   SolarWinds 事件爆发前半年,美司法部就检测到但未重视_第5张图片 觉得不错,就点个 “在看” 或 "赞” 吧~

你可能感兴趣的:(microsoft,网络)