Acredita-se que o grupo hacker APT29, também conhecido como Cozy Bear, sediado na Rússia, tenha se infiltrado em várias agências americanas, incluindo o Departamento de Estado, o Departamento de Justiça e o Pentágono, assim como a NASA e milhares de empresas em todo o mundo. De acordo com reportagens da mídia, foi usado o mesmo vetor de ataque que foi usado recentemente para invadir o Empresa de segurança Fireeye hackeado foi. Para o canal de notícias CNN autoridades confirmaram o ataque desde então.
"Podemos confirmar que houve uma invasão em um de nossos escritórios. Pedimos à CISA e ao FBI que investiguem o incidente e não podemos comentar mais neste momento".
Departamento de Comércio
Servidor de atualização distribui malware
De acordo com um relatório da Fireeye o malware utilizado para o ataque foi distribuído através de Servidor de nuvens do software de monitoramento e gerenciamento de TI Orion da Solarwinds. Os hackers integraram o malware em uma atualização do software, que foi então instalado pelas empresas e autoridades comprometidas.
Várias atualizações afetadas
De acordo com Fireeye, o ataque começou já na primavera de 2020, com múltiplos assinados e trojanizados Atualizações e distribuído através dos servidores Solarwinds.
Enquanto isso, o Fireeye tem estado em GitHub Foram lançadas assinaturas para o malware chamado Sunburst, permitindo que o Snort, Yara, IOC e ClamAV limpassem os sistemas infectados.
Em um StelOpinião O Solarwinds também confirmou a propagação do malware Sunburst através de seus servidores de atualização. A empresa recomenda que todos os clientes atualizem sua plataforma Orion o mais rápido possível. De acordo com seu próprio Detalhes A Solarwinds tem mais de 300.000 clientes em todo o mundo. As possíveis vítimas do hack incluem, portanto, não apenas as autoridades americanas, mas também corporações como Siemens, AT&T, Cisco, Mastercard e Microsoft.
Em frente ao Washington Post John Scott-Railton declarou que os danos do ataque serão muito provavelmente enormes. No passado, o APT29 foi um dos grupos mais agressivos de hacking.
"Isto é um grande negócio. Dadas as intrusões que já conhecemos, espero que o escopo dos ataques se amplie à medida que revemos os logs".
John Scott-Railton, Pesquisador do Laboratório Cidadão
