SolarWinds: Vertrauenswürdiges Update trägt einen Spion

Ein Unternehmen installiert ein Update für sein Monitoring-Tool. Dies ist normalerweise eine Wartungs- und Sicherheitsgeste. Im SolarWinds-Fall, der 2020 enthüllt wurde, wird diese Gewohnheit zu einem Tor: Einige Orion-Updates enthalten eine bösartige Komponente namens SUNBURST.

Das Eindringen zielt auf die Software-Herstellungskette ab. Feindlicher Code wird vor der Verteilung eingebettet, so dass er in einem Produkt reisen kann, das Kunden gute Gründe haben, zu akzeptieren. Das dem Lieferanten gegebene Vertrauen erleichtert somit seine Ankunft bei den Opfern.

Das Vorhandensein eines gefangenen Updates bedeutet nicht, dass jeder Kunde dann die gleiche Ausnutzung erhält. Betreiber wählen Ziele aus und verfolgen bestimmte Eingriffe, um zusätzlichen Zugriff, Informationen oder Identitäten zu erhalten. Die Anzahl der exponierten Anlagen und die Anzahl der Organisationen, die aktiv ausspioniert werden, sind unterschiedlich.

Die Untersuchungen von FireEye zeigen die Kampagne und führen zur Analyse der kompromittierten Komponente. Die Behörden geben Notfallanweisungen heraus, einschließlich der Abschaltung der betroffenen Einrichtungen, während die Teams dauerhaften Zugang suchen, den die Angreifer erhalten konnten.

Im April 2021 schrieben die US-amerikanischen und britischen Behörden diese Operation dem russischen Auslandsgeheimdienst SVR zu. Die Forscher verknüpfen es mit dem Schauspieler, der typischerweise als APT29 gefolgt wird. Dies ist nicht die Geschichte eines Lösegeldes, das für die Wiederherstellung eines Servers bezahlt wird.

SolarWinds zeigt, warum eine Verteidigung nicht darauf beschränkt werden kann, offensichtlich verdächtige Dateien zu leugnen. Die gefährliche Datei kann zur richtigen Zeit, über den richtigen Kanal, im Namen des richtigen Anbieters eintreffen.