Supply Chain

SolarWinds — Der Supply-Chain-Angriff, der Fortune 500 brach

Was geschah

Im Dezember 2020 enthüllte FireEye, dass staatliche Akteure (dem russischen SVR/Cozy Bear zugeschrieben) das CI/CD-System von SolarWinds kompromittiert und Schadcode — genannt SUNBURST — in offizielle Orion-Software-Updates eingeschleust hatten. 14 Monate lang luden 18.000 Kunden die Backdoor als signierten, vertrauenswürdigen Code herunter und führten sie aus. Nur etwa 100 Organisationen wurden für die weitere Ausnutzung ausgewählt — darunter US-Regierungsbehörden und Fortune-500-Unternehmen.

Ursache

Kompromittierte CI/CD-Pipeline. Angreifer verschafften sich Zugang zur Build-Umgebung von SolarWinds, schleusten SUNBURST als Schritt im MSBuild-Kompilierungsprozess ein und signierten die resultierende DLL digital. SUNBURST schlief 12–14 Tage nach der Installation und kommunizierte dann periodisch mit C2-Servern, getarnt als Orion Improvement Program-Traffic. Die endgültige Zielauswahl erfolgte manuell — die Angreifer analysierten jede infizierte Organisation und entschieden, ob sie tiefer eindringen wollten.

Wer war betroffen

  • U.S. Treasury, Commerce, Energy, Homeland Security
  • FireEye (das Unternehmen, das den Angriff entdeckte)
  • Microsoft, Cisco, Intel, NVIDIA
  • Gesamtzahl der SolarWinds-Kunden: 18.000+ luden die Backdoor herunter
  • Kosten: Geschätzt insgesamt 90 Milliarden Dollar

Wie es erkannt wurde

FireEye entdeckte es, als der Diebstahl ihrer eigenen Red-Team-Tools auffiel — die Angreifer hatten einen MFA-Token verwendet, der auf den Namen eines FireEye-Mitarbeiters registriert war, um ins Unternehmensnetzwerk zu gelangen. Die Rückverfolgung enthüllte SUNBURST auf ihrem Orion-Server. Mandiant veröffentlichte die detaillierte Analyse am 13. Dezember 2020 und deckte die Supply-Chain-Kompromittierung auf.

Wie es behoben wurde

Es gab keinen einfachen Patch für betroffene Organisationen:

  • Trennung der Orion-Server vom Internet
  • Vollständige Neuinstallation der Umgebungen
  • Rotation aller API-Schlüssel, Secrets und Zertifikate
  • SolarWinds veröffentlichte Monate später bereinigte Updates
  • Executive Order 14028 als Folge erlassen — schreibt SBOM und Zero-Trust für US-Bundesbehörden vor

    • Lehren für Ihr SaaS

    • Ihr CI/CD ist Ihr wertvollstes Ziel. Wenn ein Angreifer Ihre Pipeline kompromittiert, ist jedes Deployment eine Backdoor. Schützen Sie Build-Umgebungen wie Produktion.
    • SBOM ist jetzt eine rechtliche Anforderung. Wenn Sie an Behörden oder Enterprise verkaufen, bestehen Sie keinen Security-Audit ohne SBOM.
    • Anomalieerkennung, nicht nur Signaturen. SUNBURST war signiert, legitim und um 2 Wochen verzögert. Nur ungewöhnliche Netzwerkverkehrsmuster erkannten es.
    • Incident-Response-Bereitschaft. Wenn Sie über einen Anbieter kompromittiert werden, können Sie nicht einfach patchen — Sie müssen neu aufbauen. Haben Sie einen Plan.
    Sicherheitsanalyse anfragen