Nel fine settimana si è saputo che gli aggiornamenti ufficiali di SolarWinds Orion, una piattaforma di monitoraggio delle reti usata da grandi aziende ed enti governativi, sono stati manomessi per distribuire una backdoor ai clienti. Il codice malevolo è stato chiamato SUNBURST, ed è l’attacco alla catena di fornitura più grave degli ultimi anni.
Gli attaccanti sono entrati nel processo di compilazione del software e hanno inserito la backdoor in una libreria di Orion, poi firmata digitalmente e distribuita come un normale aggiornamento. Le versioni compromesse vanno dalla 2019.4 HF 5 alla 2020.2.1 HF 1, pubblicate tra marzo e giugno. Una volta installata, la backdoor resta silenziosa per circa due settimane. Poi contatta i server degli attaccanti mascherando il traffico da normale comunicazione di Orion, e permette di eseguire comandi, trasferire file ed esplorare la rete.
SolarWinds ha spiegato di aver avvisato circa 33.000 clienti di Orion, e che meno di 18.000 potrebbero aver installato una versione infetta. Quanti di questi siano stati poi sfruttati attivamente dagli attaccanti non si sa.
La scoperta nasce dall’indagine di FireEye, che l’8 dicembre aveva annunciato di essere stata violata e di aver subito il furto dei propri strumenti di test offensivi. Il punto d’ingresso era proprio Orion. Tra le vittime già note ci sono il Dipartimento del Tesoro e quello del Commercio degli Stati Uniti, e la stampa americana attribuisce l’operazione a un gruppo legato all’intelligence russa. Il 13 dicembre l’agenzia statunitense per la cybersicurezza ha emesso la direttiva d’emergenza 21-01: tutti gli enti federali devono scollegare o spegnere immediatamente i server Orion.
Se Orion è nella tua rete
Controlla la versione. Se rientra tra quelle compromesse, isola subito il server dalla rete, poi aggiorna alla 2020.2.1 HF 2, che rimuove il componente malevolo. Tratta comunque il server come violato: cambia le credenziali che usava, a partire dagli account di dominio e di rete, e cerca negli altri sistemi tracce di accessi anomali con gli indicatori di compromissione pubblicati dai ricercatori.
La lezione vale anche per chi non usa Orion. Uno strumento di monitoraggio vede tutta la rete e ha credenziali ovunque, ma non ha alcun bisogno di parlare con tutto Internet. Limitarne le connessioni in uscita avrebbe reso la vita molto più difficile a SUNBURST.
