Các tổ chức hacker mũ đen với sự hậu thuẫn của các quốc gia bị cáo buộc làm việc cho Nga đã nhắm mục tiêu vào Bộ Tài chính Hoa Kỳ, Cục Quản lý Thông tin và Viễn thông Quốc gia (Bộ Thương mại) và các cơ quan chính phủ khác để giám sát thông tin email nội bộ như một phần của chiến dịch gián điệp mạng lan rộng.

Theo thông tin từ Washington Post trích dẫn các nguồn tin giấu tên cho biết, các cuộc tấn công mới nhất là hoạt động của APT29 hoặc Cozy Bear, cùng một nhóm hack được cho là đã dàn dựng một vụ xâm nhập vào công ty an ninh mạng FireEye có trụ sở tại Hoa Kỳ dẫn đến việc đánh cắp các công cụ phục vụ cho hoạt động Redteam.

Động cơ và thông tin tình báo bị đánh cắp trong vụ xâm nhập vẫn chưa rõ ràng, nhưng các dấu hiệu cho thấy các hacker đã giả mạo bản cập nhật phần mềm do hãng SolarWinds (Texas) phát hành vào đầu năm 2020 để xâm nhập vào hệ thống của các cơ quan chính phủ cũng như FireEye trong một tấn công chuỗi cung ứng rất phức tạp.

Các sản phẩm mạng và bảo mật của SolarWinds được sử dụng bởi hơn 300.000 khách hàng trên toàn thế giới, bao gồm các công ty nằm trong danh sách Fortune 500, cơ quan chính phủ và tổ chức giáo dục. Các sản phẩm cũng phục vụ các công ty viễn thông lớn của Hoa Kỳ, tất cả năm chi nhánh của Quân đội Hoa Kỳ, và các tổ chức chính phủ nổi tiếng khác như Lầu Năm Góc, Bộ Ngoại giao, NASA, Cơ quan An ninh Quốc gia (NSA), Bưu điện, NOAA, Bộ Tư pháp và Văn phòng Tổng thống Hoa Kỳ.

Một chiến dịch tinh vi để phân phối backdoor SUNBURST

Công ty FireEye đang theo dõi chiến dịch xâm nhập có biệt danh "UNC2452". Đây là cuộc tấn công chuỗi cung ứng lợi dụng các bản cập nhật phần mềm SolarWinds Orion cho doanh nghiệp, bị nhúng kèm mã độc để phân phối một backdoor có tên SUNBURST.

"Chiến dịch này có thể đã bắt đầu sớm nhất vào đầu năm 2020 và chưa dừng lại", FireEye cho biết, "Hoạt động sau khi đã thoả hiệp thành công bao gồm chuyển động ngang và đánh cắp dữ liệu. Chiến dịch được thực hiện bởi một nhân viên có kỹ năng cao và hoạt động được tiến hành với độ bảo mật vô cùng cao."

Tập tin chứa mã độc được ký bởi chữ ký hợp lệ của Solarwinds

Phiên bản plugin SolarWinds Orion giả mạo sau khi được khởi tạo bởi chương trình Solarwinds sẽ giao tiếp qua giao thức HTTP với các máy chủ từ xa để truy xuất và thực thi các lệnh độc hại bao gồm: lệnh chuyển tệp, thực thi tệp, lập hồ sơ và khởi động lại hệ thống đích cũng như vô hiệu hóa các dịch vụ hệ thống. Tinh vi hơn, các địa chỉ IP sử dụng cho chiến dịch đã bị các máy chủ VPN đặt ở cùng quốc gia với nạn nhân làm xáo trộn để tránh bị phát hiện.

Microsoft cũng xác thực những phát hiện này trong một phân tích riêng, cho biết cuộc tấn công (mà hãng gọi là "Solorigate") đã tận dụng sự tin tưởng liên quan đến phần mềm SolarWinds để chèn mã độc vào một chiến dịch lớn hơn.

Theo Microsoft, “Một tập tin độc hại đã được xen lẫn trong số nhiều tập tin hợp pháp khác và sau đó được ký với một chứng chỉ hợp pháp. Tập tin độc hại bao gồm một backdoor và phân phối một cách kín đáo nhắm vào các tổ chức mục tiêu. "

Thông báo bảo mật từ phía hãng Solarwinds

Trong một thông báo bảo mật do SolarWinds cho biết, cuộc tấn công nhắm mục tiêu vào các phiên bản 2019.4 đến 2020.2.1 của phần mềm SolarWinds Orion Platform được phát hành từ tháng 3 - 6/2020. Đồng thời, khuyến nghị người dùng sớm nâng cấp lên bản phát hành Nền tảng Orion 2020.2.1 HF 1.

Công ty hiện đang điều tra vụ tấn công với sự phối hợp của FireEye và Cục Điều tra Liên bang Hoa Kỳ (Federal Bureau of Investigation - FBI). Dự kiến sẽ phát hành một bản sửa lỗi bổ sung 2020.2.1 HF 2 vào ngày 15/12 thay thế thành phần bị xâm nhập và cung cấp thêm một số bảo mật cải tiến.    

FireEye cũng tiết lộ rằng họ đã trở thành nạn nhân của một cuộc tấn công cực kỳ tinh vi của chính phủ nước ngoài đã xâm nhập các công cụ phần mềm được sử dụng để kiểm tra khả năng phòng thủ của khách hàng.

Tổng cộng có tới 60 công cụ của Redteam tại FireEye bị đánh cắp. Trong đó, các công cụ có sẵn công khai chiếm 43%, phiên bản sửa đổi của các công cụ có sẵn công khai chiếm 17% và những công cụ được phát triển nội bộ là 40%.

Chiến dịch dường như là một cuộc tấn công chuỗi cung ứng trên quy mô toàn cầu, FireEye cho biết họ đã phát hiện hoạt động này trên một số khách hàng trên toàn thế giới, bao gồm các công ty chính phủ, tư vấn, công nghệ, viễn thông và khai thác ở Bắc Mỹ, Châu Âu, Châu Á và Trung Đông.