211service.com
Hvordan Kinas angrep på Microsoft eskalerte til en hensynsløs hacking-spree
Demetrius Freeman-Pool/Getty Images
Først kjørte de kinesiske hackerne en forsiktig kampanje. I to måneder utnyttet de svakheter i Microsoft Exchanges e-postservere, valgte målene sine nøye og stjal hele postkasser. Da etterforskerne til slutt fanget opp, så det ut som typisk nettspionasje – men så akselererte ting dramatisk.
Rundt 26. februar ble den smale operasjonen til noe mye større og mye mer kaotisk. Bare dager senere avslørte Microsoft hackerne offentlig – hackerne er nå kjent som Hafnium – og utstedte en sikkerhetsfiks. Men da lette angriperne etter mål over hele internett: i tillegg til titusenvis av rapportert ofre i USA, regjeringer over hele verden er kunngjøring at de også ble kompromittert. Nå utnytter minst 10 hackergrupper, de fleste av dem statsstøttede cyberspionasjeteam, sårbarhetene på tusenvis av servere i over 115 land, i henhold til sikkerhetsfirmaet ESET.
Relatert historie
Hvordan datatruster kan beskytte personvernet Vi kan ikke forvente at folk skal navigere i den forvirrende verden av datainnsamling på egenhånd. Det er på tide å slå seg sammen.
Mens president Joe Biden tenker seg om gjengjeldelse mot Russiske hackere hvis angrep på et annet programvareselskap, SolarWinds , ble offentlig i desember, har Hafnium-hacket blitt et enormt gratis-for-alle, og konsekvensene kan bli enda verre. Mens eksperter sprint for å lukke hullene som ble åpnet av den kinesiske hackingen, sier tjenestemenn at den amerikanske regjeringen er tett fokusert på hva som skjer ved siden av tusenvis av nylig sårbare servere – og hvordan de skal svare Kina.
Portene er vidåpne for enhver dårlig aktør som ønsker å gjøre hva som helst med Exchange-serveren din og resten av nettverket ditt, sier Sean Koessel, visepresident i Volexity, cybersikkerhetsfirmaet som hjalp til med å oppdage hackingaktiviteten. Det beste tilfellet er spionasje – noen som bare vil stjele dataene dine. Det verste tilfellet er løsepengevare som kommer inn og distribuerer den over hele nettverket.
Skillet mellom de to angrepene handler ikke bare om tekniske detaljer, eller til og med hvilket land som begått dem. Selv om 18 000 selskaper lastet ned den kompromitterte SolarWinds-programvaren, var antallet ekte mål bare en brøkdel av den størrelsen. Hafnium var i mellomtiden langt mer vilkårlig.
Begge startet som spionasjekampanjer, men forskjellen er egentlig hvordan de ble gjennomført, sier Dmitri Alperovitch, styreleder ved Silverado Policy Accelerator. Den russiske SolarWinds-kampanjen var veldig nøye utført, der russerne gikk etter målene de brydde seg om og de stengte tilgangen alle andre steder, slik at verken de eller noen andre kunne komme inn i de målene som ikke var av interesse.
Kontrast det med den kinesiske kampanjen, sier han.
27. februar innser de at patchen kommer til å komme ut, og de skanner bokstavelig talt verden for å kompromittere alle. De forlot nettskjell som nå kan gjøre det mulig for andre å komme inn i disse nettverkene, potensielt til og med løsepengevareaktører. Det er derfor det er svært hensynsløst, farlig og må reageres på.
Masseutnyttelse
Begynnelsen på Hafnium-kampanjen var veldig under radaren, sier Koessel.
Hackingen ble savnet av de fleste sikkerhetskontroller: det ble bare oppdaget da Volexity la merke til merkelige og spesifikke internettrafikkforespørsler til selskapets kunder som kjørte sine egne Microsoft Exchange-e-postservere.
En månedslang undersøkelse viste at fire sjeldne nulldagers utnyttelser ble brukt til å stjele hele postkasser – potensielt ødeleggende for de involverte personene og selskapene, men på dette tidspunktet var det få ofre, og skaden var relativt begrenset. Volexity jobbet med Microsoft i flere uker for å fikse sårbarhetene, men Koessel sier at han så en stor endring i slutten av februar. Ikke bare begynte antallet ofre å stige, men det var også en økning i antallet hackergrupper.
Det er ikke klart hvordan flere statlige hackergrupper ble klar over nulldagssårbarhetene før Microsoft kom med noen offentlig kunngjøring. Så hvorfor eksploderte omfanget av utnyttelsen? Kanskje, noen antyder, kan hackerne ha innsett at tiden deres nesten var ute. Hvis de visste at et plaster kom, hvordan fant de det ut?
Jeg tror det er veldig uvanlig å se så mange forskjellige [avanserte hacking]-grupper som har tilgang til utnyttelsen for en sårbarhet mens detaljene ikke er offentlige, sier Matthieu Faou, som leder forskning på Exchange-hackene for ESET. Det er to store muligheter, sier han. Enten ble detaljene om sårbarhetene på en eller annen måte lekket til trusselaktørene, eller så oppdaget et annet sårbarhetsforskningsteam som jobbet for trusselaktørene uavhengig av det samme settet med sårbarheter.
Volexity så Hafnium lure inne i nettverk i en måned, og tok skritt for å sparke dem ut før Microsoft utstedte en patch. Det kan ha vært utløseren som fikk Hafnium til å eskalere. Eller, antyder Alperovitch, hackerne kunne ha funnet ut en annen måte at en oppdatering kom – sikkerhetsteam over hele bransjen, inkludert de hos Microsoft, utveksler regelmessig informasjon om sårbarheter og rettinger på forhånd. Når Microsoft kom med den offentlige kunngjøringen, ble enda flere hackergrupper med i kampen.
Dagen etter utgivelsen av oppdateringene begynte vi å observere mange flere trusselaktører som skannede og kompromitterte Exchange-servere i massevis, sier Faou. Alle unntatt én av de aktive hackergruppene er kjente myndighetsstøttede hackingteam som fokuserer på spionasje. Det er imidlertid uunngåelig at flere og flere trusselaktører, inkludert løsepengevareoperatører, vil få tilgang til utnyttelsene før eller siden, sier han.
Etter hvert som aktiviteten økte, så Volexity nok en endring i atferd: hackere forlot nettskjell da de brøt seg inn i disse systemene. Dette er enkle hackingverktøy som tillater vedvarende, ekstern bakdørtilgang til infiserte maskiner slik at hackeren kan kontrollere dem. De kan være effektive, men de er også relativt støyende og lette å få øye på.
Når hackere slipper et skall på en maskin, kan de fortsette å komme tilbake til det er ryddet opp – selv å fikse sårbarhetene som opprinnelig var feil, vil ikke rydde opp i skallene. Men selve nettskallet er knapt sikret og kan samordnes av andre hackere – først for å bryte seg inn på Exchange-serverne og stjele e-post, og deretter for å angripe hele nettverk.
Det er en dør med en lås som er lett å velge, sier Alperovitch, en av grunnleggerne av sikkerhetsfirmaet CrowdStrike som forlot selskapet i fjor.
En annen utfordring
Hackingen fortsetter å øke. Microsoft tok det sjeldne skrittet på mandag med å gi ut sikkerhetsoppdateringer for ustøttede versjoner av Exchange som normalt ville være for gamle til å sikre – et tegn på hvor alvorlig selskapet mener angrepet er. Microsoft har avvist å kommentere.
Mens Det hvite hus veier et svar, øker risikoen. Biden-administrasjonen håndterer sakte den sofistikerte spionasjen til SolarWinds, men kaoset til Hafnium-hakkene byr på en helt annen utfordring – både med å fikse problemet og svare på hackere bak det.
Det må være en melding som sendes til kineserne om at dette er uakseptabelt, argumenterer Alperovitch. USA må gjøre det klart at vi kommer til å holde dem ansvarlige for enhver skade som skyldes at kriminelle aktører utnytter denne tilgangen, sier han, og vi må presse dem til å fjerne disse nettskallene fra alle ofrene ASAP.