SolarWinds 事件爆发前半年，美司法部就检测到但未重视
编译：代码卫士
媒体 WIRED 报道称，美国司法部、Mandiant 和微软在 SolarWinds 事件爆发前六个月就获悉情况，但并未意识到事件的严重性。
SolarWinds 事件在2020年12月份公开披露，俄罗斯黑客组织被指攻陷软件厂商 SolarWinds 并在约1.8万家客户所使用的软件中插入后门。遭污染的软件之后感染了至少九家美国联邦机构，包括司法部、国防部、国土安全部以及财政部等，以及科技和安全巨头如微软、Mandiant、英特尔、思科和 Palo Alto Networks。在 Mandiant 公司公布前，黑客至少在网络中停留了四个月到九个月的时间。
WIRED 可证实这起事件实际上是由美国司法部在事件披露前6个月检测到的即在2020年5月检测到，但该事件的影响范围和重要性并未立即显现。据消息来源人士称，当司法部检测到自身其中一台服务器中的异常流量时有了怀疑，该服务器运行的是 SolarWinds 公司制造的 Orion 软件试用版本。系统管理员使用该软件管理和配置网络，当时该软件正在外部和互联网上的不熟悉的网络通信。司法部请 Mandiant 公司帮助判断该服务器是否已被入侵。同时微软公司也参与其中，尽管目前尚不清楚为何微软也会参与调查。
目前尚不清楚美国司法部下属哪个部门遭遇了攻陷事件，但司法管理部门和美国受托人计划也参与了关于该事件的讨论。受托人计划负责监控破产案例和私人受托人的管理。管理部门负责为预算和人力管理、道德、采购和 管理人员提供建议。
调查人员怀疑黑客直接攻陷了司法部服务器，可能是通过利用 Orion 软件中的一个漏洞达成的。虽然他们要求 SolarWinds 公司协助质询，但SolarWinds 公司的工程师未能在代码中找到漏洞。2020年7月，这一谜题仍未解决，调查人员与SolarWinds 公司之间的沟通停止。一个月后，美国司法部购买了 Orion 系统，消息人士表示这说明司法部认为 Orion 套件并未造成进一步的威胁。
一名司法部发言人员证实该事件和调查确有发生，但并未透露调查人员所得出的结论详情。该发言人在邮件中写到，“虽然事件响应和缓解措施已完成，但 FBI 的刑事调查仍然在开展。”WIRED 与消息来源人士证实，Mandiant、微软以及 SolarWinds 公司确实参与了该事件和调查的讨论。这三家公司拒绝就此置评。
美国司法部告知 WIRED 称，事件发生时已告知美国网络安全和基础设施局 (CISA)，尽管 NSA 的一名发言人对未收到通知感到遗憾。2020年12月，当公众获悉很多联邦机构也受影响时，司法部或 CISA 均未说明在数月前就已获悉。司法部最初提到，其首席信息官在12月24日发现了攻陷事件。
2020年11月，就在美国司法部完成缓解数月后，Mandiant 公司发现自身也被入侵，并在第二个月将其归咎于其一台服务器上使用的 Orion 软件。调查发现，该软件中包含一个后门，黑客在2020年2月即 SolarWinds 编译 Orion 软件时嵌入了该后门。受影响的 Orion 软件被分发给约1.8万家客户，后者在3月至6月下载，而当时正是司法部发现 Orion 服务器导出异常流量的时间段。不过黑客仅选择一小部分进行间谍活动，之后进一步潜入联邦机构和约100家组织机构包括技术企业、政府机构、国防承包商和智库。
Mandiant 公司在2020年7月28日遭 Orion 软件感染，而在这个时间该公司正在帮助司法部调查此事。当问到，该公司在12月份公开 SolarWinds 供应链事件时为何不同时公开数月前正在政府网络中追踪与 SolarWinds 事件相关的安全事件时，Mandiant 公司的一名发言人只表示，“当我们公开时，我们已经发现了其它受攻陷的客户。”
这一事件强调了机构和行业之间共享信息的重要性，而这正是拜登政府强调的。尽管美国司法部已经告知 CISA，但 NSA 的一名发言人告知 WIRED 称在2021年1月才获悉司法部此前遭攻陷的消息，而这个消息是多家联邦机构的员工在一次会议上共享的。
2021年1月也是美国司法部公开披露 SolarWinds 黑客很可能访问了约3%的 Office 365 邮箱的时间。关于该攻击是否是 SolarWinds 攻击的一部分还是同一伙黑客发起的攻击尚存在争论。6个月之后，司法部表示黑客设法攻陷了27家美国检察官办公室的邮件账户，这些办公室位于加州、纽约、华盛顿特区等地。
司法部在随后发布的一份声明中提到，“为了鼓励透明度并增强国土弹性”，将提供更多新的详情，包括黑客可能在2020年5月7日左右至12月27日期间访问了受陷账户。这些受陷账户包括“在该时间段内从这些账户中发现的所有已发送、已查收以及所存储的邮件和附件”。
负责美国司法部事件的调查人员并未唯一一群发现早期苗头的人员。大概在调查的同一时间，安全公司 Volexity 也正在调查美国某智库的受陷事件并将源头指向该机构所使用的 Orion 服务器。9月份，Palo Alto Networks 公司也发现其 Orion 服务器中的异常活动。Volexity 怀疑客户服务器上可能存在后门但结果并未找到该后门并终止调查。Palo Alto Networks 公司像司法部那样联系 SolarWinds 公司，但SolarWinds 同样未能锁定问题。
美国民主党参议员 Ron Wyden 批评政府未能在早期阻止并检测到 SolarWinds 事件，称需要对美国政府如何响应攻击并错失遏制机会展开调查。他在一份邮件中写到，“俄罗斯的 SolarWinds 事件成功的原因只有一个，那就是美国政府及其行业合作伙伴们的连锁失败行为。迄今为止我未看到政府全面调查并解决这些失败的迹象。联邦政府急需了解事件根因，以便未来及时发现并处理政府所使用的其它软件中的后门。”
SolarWinds 公司：Web Help Desk 实例正遭攻击
https://www.wired.com/story/solarwinds-hack-public-disclosure/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。