Supply Chain

SolarWinds — Atak na łańcuch dostaw, który złamał Fortune 500

Co się stało

W grudniu 2020 roku FireEye ujawnił, że aktorzy państwowi (przypisywani rosyjskiemu SVR/Cozy Bear) włamali się do systemu CI/CD SolarWinds i wstrzyknęli złośliwy kod — nazwany SUNBURST — do oficjalnych aktualizacji oprogramowania Orion. Przez 14 miesięcy 18 000 klientów pobierało i uruchamiało backdoor jako podpisany, zaufany kod. Tylko około 100 organizacji zostało wybranych do dalszej eksploatacji — w tym agencje rządowe USA i firmy z listy Fortune 500.

Przyczyna

Skompromitowany pipeline CI/CD. Atakujący uzyskali dostęp do środowiska budowania SolarWinds, wstrzyknęli SUNBURST jako krok w procesie kompilacji MSBuild, a następnie podpisali wynikowy DLL cyfrowo. SUNBURST spał przez 12–14 dni po instalacji, potem okresowo komunikował się z serwerami C2 podszywając się pod ruch Orion Improvement Program. Ostateczny wybór celów był ręczny — atakujący analizowali każdą zainfekowaną organizację i decydowali, czy wejść głębiej.

Kto został dotknięty

  • U.S. Treasury, Commerce, Energy, Homeland Security
  • FireEye (firma, która odkryła atak)
  • Microsoft, Cisco, Intel, NVIDIA
  • Całkowita liczba klientów SolarWinds: 18 000+ pobrało backdoora
  • Koszt: Szacowany na łącznie 90 miliardów dolarów

Jak to wykryto

FireEye znalazło go, gdy wykryto kradzież ich własnych narzędzi red-teamowych — atakujący użyli tokena MFA zarejestrowanego na nazwisko pracownika FireEye, aby dostać się do sieci korporacyjnej. Śledztwo wsteczne ujawniło SUNBURST na ich serwerze Orion. Mandiant opublikował szczegółową analizę 13 grudnia 2020, ujawniając kompromitację łańcucha dostaw.

Jak to naprawiono

Nie było prostej łatki dla dotkniętych organizacji:

  • Odłączenie serwerów Orion od internetu
  • Pełna reinstalacja środowisk
  • Rotacja wszystkich kluczy API, sekretów i certyfikatów
  • SolarWinds wydał oczyszczone aktualizacje miesiące później
  • Executive Order 14028 wydany w rezultacie — nakazujący SBOM i zero-trust dla agencji federalnych USA

    • Lekcje dla Twojego SaaS

    • Twoje CI/CD to Twój najcenniejszy cel. Jeśli atakujący włamie się do Twojego pipeline'u, każde wdrożenie to potencjalne tylne wejście. Chroń środowiska budowania jak produkcję.
    • SBOM to teraz wymóg prawny. Jeśli sprzedajesz agencjom rządowym lub enterprise, bez SBOM nie przejdziesz audytu bezpieczeństwa.
    • Wykrywanie anomalii, nie tylko sygnatur. SUNBURST był podpisany, legalny i opóźniony o 2 tygodnie. Tylko nietypowe wzorce ruchu sieciowego go wykryły.
    • Gotowość do reagowania na incydenty. Gdy zostaniesz skompromitowany przez dostawcę, nie możesz po prostu załatać — musisz odbudować. Miej plan.
    Zapytaj o audyt