“日爆攻擊”后全球政府發(fā)出安全警告
近日，APT黑客組織利用隱藏在美國軟件提供商SolarWinds的產(chǎn)品中的木馬后門發(fā)動(dòng)供應(yīng)鏈攻擊，全球網(wǎng)絡(luò)安全部門紛紛發(fā)出警告。
此前，網(wǎng)絡(luò)安全公司FireEye上周透露，其系統(tǒng)遭受了黑客攻擊、紅隊(duì)工具被盜。黑客正是通過木馬化的SolarWinds Orion軟件入侵了FireEye。
FireEye聲稱攻擊者采用了全新的復(fù)雜攻擊技術(shù)和手段，只有國家黑客組織才擁有這種技術(shù)能力，《華盛頓郵報(bào)》和《紐約時(shí)報(bào)》的報(bào)道則點(diǎn)明攻擊者是俄羅斯網(wǎng)絡(luò)犯罪團(tuán)伙APT29。
APT29是一個(gè)黑客組織，已分別與一個(gè)或多個(gè)俄羅斯情報(bào)機(jī)構(gòu)(特別是外國情報(bào)局(SVR)和聯(lián)邦安全局(FSB))存在聯(lián)系。
除了包括商務(wù)部、財(cái)政部、五角大樓、NSA、白宮總統(tǒng)辦公室在內(nèi)的美國政府及軍隊(duì)客戶外，財(cái)富500強(qiáng)中的425個(gè)企業(yè)都使用了SolarWinds的服務(wù)，SolarWinds的客戶中還包括全球數(shù)百所大學(xué)。
盡管業(yè)界普遍認(rèn)為該事件特別針對(duì)美國聯(lián)邦機(jī)構(gòu)，但來自全球各地的多個(gè)政府網(wǎng)絡(luò)安全中心也都發(fā)出了警告。
新西蘭計(jì)算機(jī)應(yīng)急響應(yīng)小組(CERT NZ)建議SolarWinds用戶盡快安裝修補(bǔ)程序，并“考慮立即隔離這些服務(wù)器，以確保在對(duì)服務(wù)器進(jìn)行修補(bǔ)和保護(hù)之前，切斷互聯(lián)網(wǎng)出口”。
該機(jī)構(gòu)還表示，已經(jīng)與國際合作伙伴進(jìn)行了討論，并表示，作為額外的預(yù)防措施，SolarWinds客戶還應(yīng)修改Orion服務(wù)器可訪問的任何基礎(chǔ)結(jié)構(gòu)的密碼。
英國國家網(wǎng)絡(luò)安全中心(NCSC)12月15日表示，正在就此事件與FireEye及其“國際合作伙伴密切合作”。
NCSC建議組織閱讀FireEye的調(diào)查更新，并遵循SolarWinds公司建議的安全緩解措施。
此外，將警告標(biāo)記為“高”狀態(tài)的澳大利亞網(wǎng)絡(luò)安全中心(ACSC)敦促Orion用戶遵循SolarWinds和FireEye提供的緩解措施。
不可接受的風(fēng)險(xiǎn)
同時(shí)，美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)也發(fā)布了一項(xiàng)緊急指令，指示所有美國聯(lián)邦機(jī)構(gòu)審查其網(wǎng)絡(luò)是否存在受到破壞的跡象，并立即斷開所有SolarWinds產(chǎn)品的網(wǎng)絡(luò)連接。
CISA代理總監(jiān)布蘭登·威爾斯說：“黑客對(duì)SolarWinds的Orion網(wǎng)絡(luò)管理產(chǎn)品的入侵，給聯(lián)邦網(wǎng)絡(luò)的安全帶來了無法接受的風(fēng)險(xiǎn)。”
“今晚的指令旨在減輕聯(lián)邦民用網(wǎng)絡(luò)內(nèi)部的潛在妥協(xié)，我們敦促所有公共和私營(yíng)部門的合作伙伴評(píng)估他們?cè)馐苓@種妥協(xié)的風(fēng)險(xiǎn)，并保護(hù)其網(wǎng)絡(luò)免受任何剝削。”
據(jù)信，仍在進(jìn)行的供應(yīng)鏈攻擊活動(dòng)可能早在2020年春季就已開始。
FireEye將該木馬惡意軟件跟蹤為“Sunburst”(日爆攻擊)?？梢栽贔ireEye的博客上找到有關(guān)惡意軟件如何運(yùn)行的更詳細(xì)的報(bào)告。
參考資料：
12月16日SolarWinds發(fā)布了最新補(bǔ)?。篽ttps://www.solarwinds.com/securityadvisory
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】
