“日爆攻擊”后全球政府發(fā)出安全警告
近日，APT黑客組織利用隱藏在美國軟件提供商SolarWinds的產(chǎn)品中的木馬后門發(fā)動供應(yīng)鏈攻擊，全球網(wǎng)絡(luò)安全部門紛紛發(fā)出警告。
此前，網(wǎng)絡(luò)安全公司FireEye上周透露，其系統(tǒng)遭受了黑客攻擊、紅隊工具被盜。黑客正是通過木馬化的SolarWinds Orion軟件入侵了FireEye。
FireEye聲稱攻擊者采用了全新的復(fù)雜攻擊技術(shù)和手段，只有國家黑客組織才擁有這種技術(shù)能力，《華盛頓郵報》和《紐約時報》的報道則點明攻擊者是俄羅斯網(wǎng)絡(luò)犯罪團伙APT29。
APT29是一個黑客組織，已分別與一個或多個俄羅斯情報機構(gòu)(特別是外國情報局(SVR)和聯(lián)邦安全局(FSB))存在聯(lián)系。
除了包括商務(wù)部、財政部、五角大樓、NSA、白宮總統(tǒng)辦公室在內(nèi)的美國政府及軍隊客戶外，財富500強中的425個企業(yè)都使用了SolarWinds的服務(wù)，SolarWinds的客戶中還包括全球數(shù)百所大學(xué)。
盡管業(yè)界普遍認為該事件特別針對美國聯(lián)邦機構(gòu)，但來自全球各地的多個政府網(wǎng)絡(luò)安全中心也都發(fā)出了警告。
新西蘭計算機應(yīng)急響應(yīng)小組(CERT NZ)建議SolarWinds用戶盡快安裝修補程序，并“考慮立即隔離這些服務(wù)器，以確保在對服務(wù)器進行修補和保護之前，切斷互聯(lián)網(wǎng)出口”。
該機構(gòu)還表示，已經(jīng)與國際合作伙伴進行了討論，并表示，作為額外的預(yù)防措施，SolarWinds客戶還應(yīng)修改Orion服務(wù)器可訪問的任何基礎(chǔ)結(jié)構(gòu)的密碼。
英國國家網(wǎng)絡(luò)安全中心(NCSC)12月15日表示，正在就此事件與FireEye及其“國際合作伙伴密切合作”。
NCSC建議組織閱讀FireEye的調(diào)查更新，并遵循SolarWinds公司建議的安全緩解措施。
此外，將警告標(biāo)記為“高”狀態(tài)的澳大利亞網(wǎng)絡(luò)安全中心(ACSC)敦促Orion用戶遵循SolarWinds和FireEye提供的緩解措施。
不可接受的風(fēng)險
同時，美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)也發(fā)布了一項緊急指令，指示所有美國聯(lián)邦機構(gòu)審查其網(wǎng)絡(luò)是否存在受到破壞的跡象，并立即斷開所有SolarWinds產(chǎn)品的網(wǎng)絡(luò)連接。
CISA代理總監(jiān)布蘭登·威爾斯說：“黑客對SolarWinds的Orion網(wǎng)絡(luò)管理產(chǎn)品的入侵，給聯(lián)邦網(wǎng)絡(luò)的安全帶來了無法接受的風(fēng)險。”
“今晚的指令旨在減輕聯(lián)邦民用網(wǎng)絡(luò)內(nèi)部的潛在妥協(xié)，我們敦促所有公共和私營部門的合作伙伴評估他們遭受這種妥協(xié)的風(fēng)險，并保護其網(wǎng)絡(luò)免受任何剝削。”
據(jù)信，仍在進行的供應(yīng)鏈攻擊活動可能早在2020年春季就已開始。
FireEye將該木馬惡意軟件跟蹤為“Sunburst”(日爆攻擊)。可以在FireEye的博客上找到有關(guān)惡意軟件如何運行的更詳細的報告。
參考資料：
12月16日SolarWinds發(fā)布了最新補丁：https://www.solarwinds.com/securityadvisory
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
