Em 2020, um grande ciberataque suspeito de ter sido cometido por um grupo apoiado pelo governo russo penetrou em milhares de organizações em todo o mundo, incluindo várias partes do governo federal dos Estados Unidos, levando a uma série de violações de dados. O ciberataque e a violação de dados foram considerados um dos piores incidentes de ciberespionagem já sofridos pelos EUA, devido à sensibilidade e ao alto perfil dos alvos e ao longo período (oito a nove meses) durante o qual os hackers tiveram acesso. Dentro de dias de sua descoberta, pelo menos 200 organizações em todo o mundo foram relatadas como afetadas pelo ataque, e algumas delas também podem ter sofrido violações de dados. As organizações afetadas em todo o mundo incluíam a OTAN, o governo do Reino Unido, o Parlamento Europeu, a Microsoft e outras.
O ataque, que passou despercebido por meses, foi relatado publicamente pela primeira vez em 13 de dezembro de 2020, e inicialmente sabia-se que havia afetado apenas o Departamento do Tesouro dos EUA e a Administração Nacional de Telecomunicações e Informação (NTIA), parte do Departamento de Comércio dos EUA. Nos dias seguintes, mais departamentos e organizações privadas relataram violações.
O ciberataque que levou às violações começou o mais tardar em março de 2020. Os atacantes exploraram software ou credenciais de pelo menos três empresas dos EUA: Microsoft, SolarWinds e VMware. Um ataque à cadeia de suprimentos no software Orion da SolarWinds, amplamente utilizado no governo e na indústria, forneceu um ponto de entrada inicial. Produtos de nuvem da Microsoft forneceram outro, permitindo que os atacantes também violassem vítimas que não eram clientes da SolarWinds. Falhas em produtos da Microsoft e VMware permitiram que os atacantes acessassem e-mails e outros documentos, e realizassem autenticação federada através dos recursos da vítima via infraestrutura de logon único.
Além do roubo de dados, o ataque causou transtornos custosos a dezenas de milhares de clientes da SolarWinds, que tiveram que verificar se haviam sido violados, e tiveram que tirar sistemas do ar e iniciar procedimentos de descontaminação com duração de meses como precaução. O senador dos EUA Richard J. Durbin descreveu o ciberataque como equivalente a uma declaração de guerra. O presidente Donald Trump ficou em silêncio por vários dias após o ataque ser divulgado publicamente. Ele sugeriu que a China, não a Rússia, poderia ser a responsável e que "está tudo sob controle".
Contexto A SolarWinds, uma empresa sediada no Texas fornecedora de software de monitoramento de rede para o governo federal dos EUA, apresentava várias deficiências de segurança antes do ataque. A SolarWinds não empregava um diretor de segurança da informação ou diretor sênior de cibersegurança. Criminosos cibernéticos vendiam acesso à infraestrutura da SolarWinds desde pelo menos 2017. A SolarWinds aconselhava os clientes a desabilitar ferramentas antivírus antes de instalar o software da SolarWinds. Em novembro de 2019, um pesquisador de segurança havia alertado a SolarWinds de que seu servidor FTP não era seguro, alertando que "qualquer hacker poderia enviar [arquivos] maliciosos" que seriam então distribuídos aos clientes da SolarWinds. Além disso, a conta da SolarWinds no Microsoft Office 365 havia sido comprometida, com os atacantes podendo acessar e-mails e possivelmente outros documentos.
Em 7 de dezembro de 2020, poucos dias antes de ser publicamente confirmado que o software da SolarWinds com cavalo de Troia foi usado para atacar outras organizações, o CEO de longa data da SolarWinds, Kevin Thompson, se aposentou. No mesmo dia, duas empresas de private equity com ligações ao conselho da SolarWinds venderam quantidades substanciais de ações da SolarWinds. As empresas negaram insider trading.
Metodologia Múltiplos vetores de ataque foram usados no curso da violação das várias vítimas do incidente.
Exploração da SolarWinds Isto é espionagem clássica. É feita de uma forma altamente sofisticada... Mas esta é uma operação furtiva.Os atacantes usaram um ataque à cadeia de suprimentos. Os atacantes acessaram o sistema de compilação pertencente à empresa de software SolarWinds, possivelmente através da conta da SolarWinds no Microsoft Office 365, que também havia sido comprometida em algum momento. A SolarWinds estava usando o servidor de gerenciamento de compilação e integração contínua TeamCity, fornecido pela empresa tcheca JetBrains. Em 2021, The New York Times afirmou que partes desconhecidas aparentemente inseriram malware no software da JetBrains e, através deste meio, comprometeram também a SolarWinds.
Os atacantes estabeleceram uma posição na infraestrutura de publicação de software da SolarWinds o mais tardar em setembro de 2019. No sistema de compilação, os atacantes modificaram sorrateiramente as atualizações de software fornecidas pela SolarWinds aos usuários de seu software de monitoramento de rede Orion. A primeira modificação conhecida, em outubro de 2019, foi meramente uma prova de conceito. Uma vez estabelecida a prova, os atacantes passaram de dezembro de 2019 a fevereiro de 2020 montando uma infraestrutura de comando e controle.
Em março de 2020, os atacantes começaram a plantar malware do tipo ferramenta de acesso remoto nas atualizações do Orion, inserindo-lhes assim um cavalo de Troia. Esses usuários incluíam clientes do governo dos EUA no poder executivo, nas forças armadas e nos serviços de inteligência (ver seção Impacto, abaixo). Se um usuário instalasse a atualização, isso executaria a carga maliciosa do malware, que permaneceria dormente por 12 a 14 dias antes de tentar se comunicar com um ou mais de vários servidores de comando e controle. As comunicações foram projetadas para imitar o tráfego legítimo da SolarWinds. Se conseguisse contatar um desses servidores, isso alertaria os atacantes sobre uma implantação bem-sucedida do malware e ofereceria aos atacantes uma backdoor que eles poderiam escolher utilizar se desejassem explorar o sistema ainda mais. O malware começou a contatar servidores de comando e controle em abril de 2020, inicialmente da América do Norte e Europa e subsequentemente de outros continentes também.
Os atacantes parecem ter utilizado apenas uma pequena fração das implantações bem-sucedidas do malware: aquelas localizadas dentro de redes de computadores pertencentes a alvos de alto valor. Uma vez dentro das redes alvo, os atacantes pivotearam, instalando ferramentas de exploração como componentes Cobalt strike, e procurando acesso adicional. Como o Orion estava conectado às contas Office 365 dos clientes como um aplicativo de terceiros confiável, os atacantes conseguiram acessar e-mails e outros documentos confidenciais. Este acesso aparentemente os ajudou a procurar certificados que lhes permitissem assinar tokens SAML, permitindo-lhes se passar por usuários legítimos para serviços locais adicionais e para serviços em nuvem como o Microsoft Azure Active Directory. Uma vez obtidas estas posições adicionais, desabilitar o software Orion comprometido não seria mais suficiente para cortar o acesso dos atacantes à rede alvo. Tendo acessado dados de interesse, eles os criptografaram e os exfiltraram.
Os atacantes hospedaram seus servidores de comando e controle em serviços de nuvem comerciais da Amazon, Microsoft, GoDaddy e outros. Ao usar endereços IP de comando e controle baseados nos EUA, e porque grande parte do malware envolvido era novo, os atacantes conseguiram evitar a detecção pelo Einstein, um sistema nacional de cibersegurança operado pelo Departamento de Segurança Interna (DHS).
Investigadores do FBI em fevereiro de 2021 descobriram que uma falha separada no software fabricado pela SolarWinds Corp foi usada por hackers ligados a outro governo estrangeiro para ajudar a invadir computadores do governo dos EUA.
Explorações da Microsoft Se você pensar em dados que estão disponíveis apenas para o CEO, ou dados que estão disponíveis apenas para serviços de TI, [o atacante obteria] todos esses dados.Os atacantes exploraram falhas em produtos, serviços e infraestrutura de distribuição de software da Microsoft.
Em outro ataque à cadeia de suprimentos, pelo menos um revendedor de serviços de nuvem da Microsoft foi comprometido pelos atacantes, constituindo um ataque à cadeia de suprimentos que permitiu aos atacantes acessar serviços de nuvem da Microsoft usados pelos clientes do revendedor.
Junto com isso, o "Zerologon", uma vulnerabilidade no protocolo de autenticação da Microsoft NetLogon, permitiu que os atacantes acessassem todos os nomes de usuário e senhas válidos em cada rede da Microsoft que violaram. Isso lhes permitiu acessar credenciais adicionais necessárias para assumir os privilégios de qualquer usuário legítimo da rede, o que por sua vez lhes permitiu comprometer contas de e-mail do Microsoft Office 365.
Além disso, uma falha no Outlook Web App da Microsoft pode ter permitido que os atacantes contornassem a autenticação multifator.
Descobriu-se que os atacantes invadiram o Microsoft Office 365 de uma forma que lhes permitiu monitorar e-mails de funcionários da NTIA e do Tesouro por vários meses. Este ataque aparentemente usou algum tipo de token de identidade falsificado, permitindo que os atacantes enganassem os sistemas de autenticação da Microsoft. A presença de infraestrutura de logon único aumentou a viabilidade do ataque.
Explorações da VMware Vulnerabilidades no VMware Access e no VMware Identity Manager, permitindo que invasores de rede já presentes pivotassem e ganhassem persistência, foram utilizadas em 2020 por atacantes patrocinados pelo Estado russo. Em 18 de dezembro de 2020, embora fosse definitivamente conhecido que o trojan SUNBURST teria fornecido acesso adequado para explorar os bugs da VMware, ainda não se sabia definitivamente se os atacantes haviam de fato encadeado essas duas explorações em ambiente real.
Descoberta Exploração da SolarWinds Em 8 de dezembro de 2020, a empresa de cibersegurança FireEye anunciou que ferramentas de red team haviam sido roubadas dela pelo que acreditava ser um atacante patrocinado por um Estado. Acreditava-se que a FireEye era um alvo do SVR, o Serviço de Inteligência Estrangeiro da Rússia. A FireEye diz que descobriu o ataque à cadeia de suprimentos da SolarWinds no curso da investigação da própria violação e roubo de ferramentas da FireEye.
Após descobrir esse ataque, a FireEye o reportou à Agência de Segurança Nacional dos Estados Unidos (NSA), uma agência federal responsável por ajudar a defender os EUA de ciberataques. Não se sabe que a NSA estava ciente do ataque antes de ser notificada pela FireEye. A própria NSA usa software da SolarWinds.
Alguns dias depois, em 13 de dezembro, quando violações no Tesouro e no Departamento de Comércio foram publicamente confirmadas, fontes disseram que a violação da FireEye estava relacionada. Em 15 de dezembro, a FireEye confirmou que o vetor de ataque usado para atacar o Tesouro e outros departamentos do governo era o mesmo que havia sido usado para atacar a FireEye: uma atualização de software com cavalo de Troia para o SolarWinds Orion.
A comunidade de segurança voltou sua atenção para o Orion. As versões infectadas eram as 2019.4 a 2020.2.1 HF1, lançadas entre março de 2020 e junho de 2020. A FireEye nomeou o malware de SUNBURST. A Microsoft o chamou de Solorigate. A ferramenta que os atacantes usaram para inserir o SUNBURST nas atualizações do Orion foi posteriormente isolada pela empresa de cibersegurança CrowdStrike, que a chamou de SUNSPOT.
A análise subsequente do comprometimento da SolarWinds usando dados de DNS e engenharia reversa dos binários do Orion, pela DomainTools e ReversingLabs respectivamente, revelou detalhes adicionais sobre a linha do tempo do atacante.