A kormányok és nagyvállalatok világszerte azon dolgoznak, hogy ők is áldozatai voltak-e egy globális kiberkémkedési kampánynak, amely több amerikai kormányzati szervet is áthatolt, és egy közös szoftverterméket érintett, amelyet több ezer szervezet használ. Oroszország, a fő gyanúsított, tagadja a részvételt. A kiberbiztonsági nyomozók szerint a hackelés hatása messze túlmutat az érintett amerikai ügynökségeken, amelyek közé tartozik a Pénzügyminisztérium és a Kereskedelmi Minisztérium, bár nem hozták nyilvánosságra, mely cégeket vagy más kormányokat célozták meg.

Mi történt?

A hack már márciusban kezdődött, amikor rosszindulatú kódot becsempésztek a népszerű szoftverek frissítéseibe, amelyek vállalatok és kormányok számítógépes hálózatait figyelik. A rosszindulatú program, amely az amerikai SolarWinds által gyártott terméket érintette, elit hackereknek távoli hozzáférést biztosított egy szervezet hálózatába, hogy ellophassák az információkat. Csak akkor fedezték fel, amikor a neves kiberbiztonsági cég, a FireEye megállapította, hogy feltörték. Aki betört a FireEye-be, az kormányzati ügyfeleiről keresett adatokat – közölte a cég – és elköltözött hackelő eszközökkel, amelyeket ügyfelei védelmének vizsgálatára használ.

"Nincs bizonyíték arra, hogy ez romboló szándék lett volna" – mondta Ben Buchanan, a Georgetown Egyetem kiberkémkedési szakértője és a "The Hacker and The State" című könyv szerzője. A kampány hatókörét "lenyűgözőnek, meglepőnek és riasztónak" nevezte.

A látszólag hónapokig tartó idővonal bőven adott a hackereknek az információt sokféle célponttól. Buchanan úr összehasonlította a nagyságát a 2015-ös kínai hackeléshez az Egyesült Államok Személyzeti Menedzsment Hivatala ellen, amelyben 22 millió szövetségi alkalmazott és kormányzati állásjelölt iratoit lopták el.

A FireEye vezetője, Charles Carmakal elmondta, hogy a cég tisztában van "tucatnyi hihetetlenül nagy értékű célponttal", akiket a hackerek kompromittáltak, és "több szervezetet segítettek reagálni behatolásukra." Nem nevezett meg egyet sem, és azt várja, hogy a következő napokban sokan tudják meg, hogy ők is beépültek.

Mi az a SolarWinds?

A Texas állambeli Austinban működő SolarWinds hálózatfigyelő és egyéb műszaki szolgáltatásokat nyújt több százezer szervezetnek világszerte, beleértve a legtöbb Fortune 500 vállalatot és kormányzati ügynökséget Észak-Amerikában, Európában, Ázsiában és a Közel-Keleten.

A kompromittált terméke, az Orion, a SolarWinds éves bevételének közel felét adja. A vállalat bevétele az év első kilenc hónapjában összesen 753,9 millió dollárt ért el. A központosított megfigyelés a szervezet számítógépes hálózataiban keresi a problémákat, ami azt jelenti, hogy a betörés "isteni nézetet" adott a támadóknak ezekről a hálózatokról.

A SolarWinds, amelynek részvényei hétfőn 17 százalékkal csökkentek, pénzügyi bejelentésében azt írták, hogy mintegy 33 000 Orion-vásárlónak küldött figyelmeztetést, akiket esetleg érintettek, bár becslése szerint kevesebb mint 18 000 ügyfél valójában telepítette az érintett termékfrissítést az év elején.

A FireEye leírta a kártevő szédítő képességeket – kezdetben legfeljebb két hétig szunnyadt, majd a felderítő tevékenységét Orion tevékenységének álcázva rejtőzködve a szem láthatárán.

Érintette a munkahelyemet?

Sem a SolarWinds, sem az amerikai kiberbiztonsági hatóságok nem azonosították nyilvánosan, mely szervezeteket sértették fel. Az, hogy egy cég vagy ügynökség a SolarWinds-t használja beszállítóként, nem feltétlenül jelenti azt, hogy sebezhető lett volna a hackeléssel. A távoli hozzáférésű hátsó ajtókat megnyitó kártevő beillesztés a SolarWinds március és június között megjelent Orion termékfrissítéseibe, de nem minden ügyfél telepítette őket.

A hackereknek is meg kellett volna célozniuk a szervezetet. Az ő szintjükön feltörés költséges, és csak ők választották célpontot, akiknek nagyon vágyott információjuk van, mert a felfedezés kockázata minden alkalommal nőtt, amikor aktiválják a kártevőt, mondta a FireEye Carmakalja.

Az úgynevezett ellátási lánc módszer, amelyet a rosszindulatú szoftver SolarWinds szoftverén keresztül terjesztettek, felidézte azt a technikát, amelyet orosz katonai hackerek 2016-ban alkalmaztak, hogy megfertőzék az ukrajnai vállalatokat a merevlemez-törlést végző NotPetya vírussal – ez volt eddigi legkárosabb kibertámadás. Ebben az esetben a hackerek egy önszaporzó féreget helyeztek be egy adófelkészítő szoftvercég frissítéseibe, hogy megfertőzzék ügyfeleit. Ebben az esetben a fertőzött szervezetbe való tényleges beszivárgás "aprólékos tervezést és manuális interakciót" igényelt a FireEye szerint.

Ki a felelős?

A SolarWinds közölte neki, hogy egy "külső nemzetállam" hatolt be a rendszereibe rosszindulatú szoftverekkel. Sem az amerikai kormány, sem az érintett vállalatok nem közölték nyilvánosan, melyik nemzetállamot tartják felelősnek.

Egy amerikai tisztviselő, aki névtelenséget kérve beszélt a folyamatban lévő vizsgálat miatt, hétfőn az Associated Pressnek elmondta, hogy orosz hackereket gyanúsítanak. Oroszország hétfőn közölte, hogy "semmi köze" a hackeléshez.

"Ismét elutasíthatom ezeket a vádakat" – mondta Dmitrij Peszkov, a Kreml szóvivője az újságíróknak. "Ha hónapokig az amerikaiak nem tudtak semmit tenni ellene, akkor valószínűleg nem szabad alaptalanul az oroszokat hibáztatni mindenért."

Buchanan úr, a georgetowni szakértő szerint a hackerek "ügyesek voltak egy rendszerszintű gyengeség megtalálásában, majd hónapokig csendben kihasználták azt." A kiberfenyegetés-elemző közösség egyetértését, miszerint az oroszok felelősek, a használt taktikák, technikák és eljárások támogatják, amelyek digitális ujjlenyomatukat hordozzák – mondta Brandon Valeriano, a Marine Corps University technológiai kutatója.

Mit lehet tenni az ilyen hackelések megelőzésére és ellensúlyozására?

A kémkedés nem sérti ki nyíltan a nemzetközi jogot – és a kibervédelem nehéz. De megtorlás a súlyos hackelésért felelős kormányokkal szemben történik. A diplomatákat ki lehet űzni. Szankciókat lehet kiszabni. Az Obama-kormányzat kiutasította orosz diplomatákat válaszul a Kreml katonai hackereinek beavatkozásáért Donald Trump javára a 2016-os választáson. A kiberbiztonság "nem volt elnöki prioritás" a Trump-kormányzat alatt, és a leköszönő elnök nem volt képes vagy nem akart Oroszországot felelősségre vonni agresszív kibertéri lépésekért – mondta Chris Painter, aki az Obama-kormányzat alatt a külügyminisztériumban koordinálta a kiberpolitikát.

"Úgy gondolom, ez hozzájárul Oroszország bátorságához," mondta. A beérkező Biden nemzetbiztonsági csapat jelezte, hogy kevésbé fog tolerancia, és várhatóan visszaállítja a Trump által megszüntetett Fehér Ház kiberbiztonsági koordinátori pozícióját.

Az iparági szakértők szerint a Fehér Ház nagyobb kiberbiztonsági fókusza kulcsfontosságú lesz.

A Microsoft kiadott egy figyelmeztetés, amely segítette a FireEye-t a hackelési válaszban, azt írta, hogy "az elmúlt két évben több mint 13 000 értesítést küldött az országok által megtámadott ügyfeleknek, és gyors fejlődést figyelt meg a kifinomultságuk és működési biztonsági képességeikben."