SolarWinds: aggiornamento attendibile porta una spia

Un'azienda installa un aggiornamento per il suo strumento di monitoraggio. Questo è normalmente un gesto di manutenzione e sicurezza. Nel caso SolarWinds rivelato nel 2020, questa abitudine diventa un gateway: alcuni aggiornamenti Orion contengono un componente dannoso chiamato SUNBURST.

L'intrusione si rivolge alla catena di produzione del software. Il codice hostile è incorporato prima della distribuzione, consentendogli di viaggiare in un prodotto che i clienti hanno buone ragioni per accettare. La fiducia accordata al fornitore facilita così il suo arrivo alle vittime.

La presenza di un aggiornamento intrappolato non significa che ogni cliente riceva lo stesso sfruttamento. Gli operatori scelgono gli obiettivi e perseguono determinate intrusioni per ottenere ulteriori accesso, informazioni o identità. Il numero di installazioni esposte e il numero di organizzazioni attivamente spiate sono diversi.

Le indagini di FireEye rivelano la campagna e portano all’analisi del componente compromesso. Le autorità stanno emettendo istruzioni di emergenza, tra cui la disconnessione delle strutture interessate, mentre le squadre cercano un accesso persistente che gli aggressori sono stati in grado di ottenere.

Nell’aprile 2021, le autorità statunitensi e britanniche attribuirono questa operazione al servizio di intelligence straniero russo, l’SVR. I ricercatori lo collegano all'attore tipicamente seguito come APT29. Questa non è la storia di un riscatto pagato per recuperare un server.

SolarWinds mostra perché una difesa non può essere limitata a negare file ovviamente sospetti. Il file pericoloso può arrivare al momento giusto, attraverso il canale giusto, a nome del fornitore giusto.