SolarWinds: Vertrauenswürdige Updates als Einfallstor
Zusammenfassung
Brian Krebs fasst wenige Tage nach Bekanntwerden zusammen, was über den Einbruch bei SolarWinds bekannt war: Angreifer hatten Schadcode in Updates der Netzwerküberwachung Orion eingeschleust. Laut Börsenmeldung waren rund 33.000 der mehr als 300.000 Kunden Orion-Nutzer, und weniger als 18.000 hatten möglicherweise eine verseuchte Version installiert. Microsoft hatte die zentrale Steuerdomain des Schadcodes übernommen und dürfte damit sehen können, welche Systeme sich noch melden.
Was die Notfallanweisung verlangte
CISA erließ am 13. Dezember 2020 die Notfallanweisung ED 21-01 für die Orion-Versionen 2019.4 bis 2020.2.1 HF1. Behörden mussten betroffene Systeme vom Netz trennen, laut CISA die einzige bekannte Gegenmaßnahme. Wer es konnte, sollte vorher Arbeitsspeicher und Systeme forensisch sichern. Neue Versionen durften erst nach weiterer Anweisung installiert werden.
Ziele nach Wert und Entdeckungsrisiko
Laut FireEye war Orion seit März 2020 manipuliert. Die Angreifer hatten also Monate, um unter bis zu 18.000 Installationen auszuwählen. Alan Paller vom SANS Institute vermutete eine Rangliste: Ziele nach dem Wert der erreichbaren Daten sortiert und daneben bewertet, wie gut die dortigen Verteidiger Schadsoftware aufspüren.
Am 15. April 2021 benannte die US-Regierung den russischen Auslandsgeheimdienst SVR, auch als APT 29 oder Cozy Bear bekannt, offiziell als Urheber.
Ideen
- Ein kompromittierter Updatekanal verteilt Angreiferzugang über bestehendes Vertrauen.
- Netzwerküberwachung hat weitreichende Rechte und sieht große Teile des Netzes.
- Eine installierte Hintertür ist nicht gleichbedeutend mit einem aktiv ausgenutzten Ziel.
- Angreifer wägen den Wert eines Opfers gegen ihr Entdeckungsrisiko ab.
- Die Übernahme der Steuerdomain zeigt, welche Systeme sich noch melden.
- Laut einem Sicherheitsforscher lag 2019 ein Passwort des Downloadservers offen auf GitHub.
Einsichten
- Vertrauenswürdige Software mit weitreichenden Rechten vervielfacht bei Kompromittierung die Schadensreichweite.
- Lieferkettenvorfälle verlangen flächige Suche und zugleich Vorrang für die wertvollsten Systeme.
- Verteidiger können Infrastruktur der Angreifer zur Lagebestimmung umwidmen.
Zitate
- The lawsuits are coming, and I hope they have a good general counsel. (James Lewis)
Fakten
- Betroffen waren laut CISA die Orion-Versionen 2019.4 bis 2020.2.1 HF1.
- Die Steuerdomain hieß avsvmcloud.com.
- Orion brachte rund 343 Millionen US-Dollar Umsatz, etwa 45 Prozent des Firmenumsatzes.
- Der Aktienkurs von SolarWinds fiel nach Bekanntwerden um 25 Prozent.
- FireEye bestätigte Krebs, dass der eigene Einbruch über Orion erfolgt war.
Referenzen
- Brian Krebs: SolarWinds Hack Could Affect 18K Customers
- SolarWinds Orion: kompromittierte Netzwerkmanagement-Plattform.
- FireEye: SUNBURST (technische Analyse der Schadsoftware).
- CISA: Notfallanweisung zum Abschalten betroffener Produkte.
- CISA: Emergency Directive 21-01, Mitigate SolarWinds Orion Code Compromise (2020)
- Weißes Haus: Fact Sheet zur Zuordnung an den SVR (2021)
Bemerkungen
- Der Beitrag entstand mitten im Vorfall; die Zahl 18.000 nennt mögliche Installationen, keine bestätigten Folgeangriffe, und so formuliert es auch Krebs.
Empfehlungen
- Behandle Management- und Überwachungssysteme als besonders schützenswerte Vertrauensanker.
- Begrenze ausgehende Verbindungen von Managementservern auf bekannte Ziele.
- Inventarisiere installierte Versionen und Updateherkunft zentral.
- Suche nach Folgeaktivität statt nur nach dem kompromittierten Paket.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.