211service.com
Kaip Kinijos ataka prieš „Microsoft“ peraugo į neapgalvotą įsilaužimo šėlsmą
Demetrius Freeman-Pool / Getty Images
Iš pradžių Kinijos įsilaužėliai vykdė kruopščią kampaniją. Du mėnesius jie naudojosi „Microsoft Exchange“ el. pašto serverių trūkumais, kruopščiai rinko taikinius ir vogė ištisas pašto dėžutes. Kai tyrėjai galiausiai sugavo, tai atrodė kaip tipiškas internetinis šnipinėjimas, bet tada viskas labai įsibėgėjo.
Apie vasario 26 d. siaura operacija virto kažkas daug didesnio ir daug chaotiškesnis. Vos po kelių dienų „Microsoft“ viešai atskleidė įsilaužimus – įsilaužėliai dabar žinomi kaip „Hafnium“ – ir paskelbė saugos pataisą. Tačiau tuo metu užpuolikai taikinių ieškojo visame internete: be dešimčių tūkstančių pranešė aukų JAV, vyriausybės visame pasaulyje skelbiant kad ir jie buvo sukompromituoti. Šiuo metu mažiausiai 10 įsilaužimo grupių, kurių dauguma yra vyriausybės remiamos kibernetinio šnipinėjimo komandos, naudojasi pažeidžiamumu tūkstančiuose serverių daugiau nei 115 šalių, pagal saugos firmai ESET.
Susijusi istorija
Kaip duomenų patikimumas gali apsaugoti privatumą Negalime tikėtis, kad žmonės patys naršys painiame duomenų rinkimo pasaulyje. Atėjo laikas suvienyti jėgas.
Kol prezidentas Joe Bidenas svarsto atkeršyti prieš Rusijos įsilaužėliai, kurių ataka prieš kitą programinės įrangos įmonę „SolarWinds“. , paskelbtas gruodį, Hafnium įsilaužimas tapo didžiuliu nemokamu visiems, o jo pasekmės gali būti dar blogesnės. Ekspertams veržiantis uždaryti skyles, kurias atsivėrė Kinijos įsilaužimas, pareigūnai teigia, kad Amerikos vyriausybė labai susitelkusi į tai, kas vyksta šalia tūkstančių naujai pažeidžiamų serverių ir kaip reaguoti į Kiniją.
Vartai yra plačiai atviri visiems blogiems veikėjams, norintiems ką nors padaryti su jūsų „Exchange“ serveriu ir likusiu jūsų tinklu“, – sako Seanas Koesselis, „Volexity“, kibernetinio saugumo įmonės, padėjusios atrasti įsilaužimo veiklą, viceprezidentas. Geriausias atvejis yra šnipinėjimas – kažkas, kas tiesiog nori pavogti jūsų duomenis. Blogiausias atvejis yra tai, kad išpirkos reikalaujančios programos patenka ir diegia ją visame tinkle.
Skirtumas tarp šių dviejų išpuolių yra ne tik techninės detalės ar net tai, kuri šalis juos įvykdė. Nors 18 000 įmonių atsisiuntė pažeistą „SolarWinds“ programinę įrangą, tikrų taikinių skaičius buvo tik maža dalis. Tuo tarpu hafnis buvo kur kas labiau beatodairiškas.
Abi prasidėjo kaip šnipinėjimo kampanijos, tačiau iš tikrųjų skiriasi tai, kaip jos buvo vykdomos, sako Dmitrijus Alperovičius, Silverado politikos greitintuvo pirmininkas. Labai kruopščiai buvo atlikta rusiška „SolarWinds“ kampanija, kur rusai ėjo paskui jiems rūpimus taikinius ir uždarė prieigą visur kitur, kad nei jie, nei kas nors kitas negalėtų patekti į tuos taikinius, kurie neįdomūs.
Jis sako, kad priešingai tai Kinijos kampanijai.
Vasario 27 d. jie supranta, kad pleistras pasirodys, ir tiesiogine prasme nuskaito pasaulį, kad sukompromituotų visus. Jie paliko žiniatinklio apvalkalus, kurie dabar gali padėti kitiems patekti į tuos tinklus, galbūt net išpirkos programinės įrangos dalyviams. Štai kodėl tai labai neapgalvota, pavojinga ir į jį reikia reaguoti.
Masinis išnaudojimas
„Hafnium“ kampanijos pradžia buvo labai stebima, sako Koesselis.
Įsilaužimas buvo praleistas atliekant daugumą saugumo patikrinimų: jis buvo pastebėtas tik tada, kai Volexity pastebėjo keistus ir specifinius interneto srauto užklausas įmonės klientams, kurie valdė savo Microsoft Exchange el. pašto serverius.
Mėnesį trukęs tyrimas parodė, kad ištisoms pašto dėžutėms pavogti buvo naudojami keturi reti nulinės dienos žygdarbiai – tai gali būti niokojanti susijusiems asmenims ir įmonėms, tačiau šiuo metu aukų buvo nedaug, o žala buvo palyginti nedidelė. „Volexity“ kelias savaites dirbo su „Microsoft“, kad ištaisytų pažeidžiamumą, tačiau Koesselis teigia, kad vasario pabaigoje pastebėjo esminius pokyčius. Pradėjo ne tik daugėti aukų, bet ir įsilaužimo grupių padaugėjo.
Neaišku, kaip kelios vyriausybinės įsilaužimo grupės sužinojo apie nulinės dienos pažeidžiamumą prieš „Microsoft“ paskelbiant bet kokį viešą pranešimą. Taigi kodėl išnaudojimo mastas sprogo? Galbūt, kai kurie teigia, kad įsilaužėliai galėjo suprasti, kad jų laikas beveik baigėsi. Jei jie žinojo, kad ateina pleistras, kaip jie sužinojo?
Manau, kad labai neįprasta matyti tiek daug skirtingų [išplėstinio įsilaužimo] grupių, turinčių prieigą prie pažeidžiamumo išnaudojimo, o detalės nėra viešos, sako Matthieu Faou, vadovaujantis ESET „Exchange“ įsilaužimų tyrimams. Yra dvi pagrindinės galimybės, sako jis. Arba pažeidžiamumų detalės buvo kažkokiu būdu nutekintos grėsmės veikėjams, arba kita pažeidžiamumo tyrimų komanda, dirbanti su grėsmės veikėjais, savarankiškai aptiko tą patį pažeidžiamumų rinkinį.
Volexity mėnesį stebėjo, kaip Hafnium slypi tinkluose, ir ėmėsi veiksmų, kad juos pašalintų, kol Microsoft išleido pataisą. Tai galėjo būti veiksnys, paskatinęs Hafnium eskaluoti. Arba, teigia Alperovičius, įsilaužėliai galėjo suprasti ir kitą būdą, kaip ateina pataisa – saugos komandos visoje pramonės šakoje, įskaitant „Microsoft“, reguliariai iš anksto keičiasi informacija apie pažeidžiamumą ir pataisymus. Kai „Microsoft“ paskelbė viešą pranešimą, prie kovos prisijungė dar daugiau įsilaužimo grupių.
Kitą dieną po pataisų išleidimo pradėjome stebėti daug daugiau grėsmių veikėjų, kurie masiškai nuskaito ir pažeidžia „Exchange“ serverius, sako Faou. Visos, išskyrus vieną iš aktyvių įsilaužimų grupių, yra žinomos vyriausybės remiamos programišių komandos, orientuotos į šnipinėjimą. Tačiau neišvengiama, kad vis daugiau grėsmių veikėjų, įskaitant išpirkos reikalaujančių programų operatorius, anksčiau ar vėliau turės prieigą prie išnaudojimų, sako jis.
Vykstant veiklai, Volexity pastebėjo dar vieną elgesio pokytį: įsilaužėliai paliko žiniatinklio apvalkalus, kai įsilaužė į šias sistemas. Tai paprasti įsilaužimo įrankiai, leidžiantys nuolat, nuotoliniu būdu pasiekti užkrėstus įrenginius, kad įsilaužėlis galėtų juos valdyti. Jie gali būti veiksmingi, tačiau jie taip pat yra gana triukšmingi ir lengvai pastebimi.
Kai įsilaužėliai numeta mašinos apvalkalą, jie gali grįžti atgal, kol jis nebus išvalytas – net ir ištaisę pažeidžiamumą, dėl kurio iš pradžių buvo kaltas, apvalkalai nebus išvalyti. Tačiau pats žiniatinklio apvalkalas yra vos apsaugotas ir jį gali pasirinkti kiti įsilaužėliai – pirmiausia įsilaužti į „Exchange“ serverius ir pavogti el. laiškus, o paskui atakuoti ištisus tinklus.
Tai durys su spyna, kurią lengva pasiimti, sako Alperovičius, apsaugos įmonės „CrowdStrike“ įkūrėjas, praėjusiais metais palikęs įmonę.
Kitoks iššūkis
Įsilaužimas ir toliau didėja. „Microsoft“ pirmadienį žengė retą žingsnį ir išleido nepalaikomų „Exchange“ versijų saugos pataisas, kurios paprastai būtų per senos, kad būtų apsaugotos – tai ženklas, koks rimtas, bendrovės nuomone, ataka. „Microsoft“ atsisakė komentuoti.
Nors Baltieji rūmai pasveria atsaką, rizika auga. Bideno administracija pamažu susiduria su sudėtingu „SolarWinds“ šnipinėjimu, tačiau „Hafnium“ įsilaužimų chaosas kelia visiškai kitokį iššūkį – tiek išspręsti problemą, tiek reaguoti į įsilaužėlius.
Reikia, kad kinams būtų siunčiama žinutė, kad tai nepriimtina, tvirtina Alperovičius. Pasak jo, JAV turi aiškiai pasakyti, kad turėsime juos atsakyti už bet kokią žalą, kurią padarys nusikaltėliai, pasinaudoję šia prieiga, ir mes turime priversti juos kuo greičiau pašalinti tuos žiniatinklio apvalkalus nuo visų aukų.