Hvordan Kinas angreb på Microsoft eskalerede til en hensynsløs hackerangreb

Demetrius Freeman-Pool/Getty Images

Først kørte de kinesiske hackere en omhyggelig kampagne. I to måneder udnyttede de svagheder i Microsoft Exchange-e-mail-servere, valgte deres mål omhyggeligt og stjal i det skjulte hele postkasser. Da efterforskerne til sidst fangede det, lignede det typisk onlinespionage - men så accelererede tingene dramatisk.

Omkring 26. februar blev den smalle operation til noget meget større og meget mere kaotisk. Kun få dage senere afslørede Microsoft offentligt hackene - hackerne er nu kendt som Hafnium - og udstedte en sikkerhedsrettelse. Men på det tidspunkt ledte angriberne efter mål på tværs af hele internettet: ud over titusindvis af rapporteret ofre i USA, er regeringer over hele verden annoncerer at de også blev kompromitteret. Nu udnytter mindst 10 hackergrupper, de fleste af dem regeringsstøttede cyberspionagehold, sårbarhederne på tusindvis af servere i over 115 lande, ifølge til sikkerhedsfirmaet ESET.

Relateret historie

Hvordan datatrusts kan beskytte privatlivets fred

Vi kan ikke forvente, at folk navigerer i den forvirrende verden af ​​dataindsamling på egen hånd. Det er tid til at slå kræfterne sammen.

Mens præsident Joe Biden overvejer gengældelse imod Russiske hackere, hvis angreb på et andet softwarefirma, SolarWinds , blev offentlig i december, er Hafnium-hacket blevet et enormt gratis-for-alle, og dets konsekvenser kan være endnu værre. Mens eksperter sprint for at lukke hullerne åbnet af den kinesiske hacking, siger embedsmænd, at den amerikanske regering er tæt fokuseret på, hvad der sker ved siden af ​​tusindvis af nyligt sårbare servere - og hvordan man reagerer på Kina.

Portene er vidt åbne for enhver dårlig aktør, der ønsker at gøre noget ved din Exchange-server og resten af ​​dit netværk, siger Sean Koessel, vicepræsident hos Volexity, cybersikkerhedsfirmaet, der hjalp med at opdage hacking-aktiviteten. Det bedste tilfælde er spionage - nogen, der bare vil stjæle dine data. Det værste tilfælde er, at ransomware kommer ind og implementerer det på tværs af hele netværket.

Forskellen mellem de to angreb handler ikke kun om tekniske detaljer, eller endda hvilket land der har begået dem. Selvom 18.000 virksomheder downloadede den kompromitterede SolarWinds-software, var antallet af ægte mål kun en brøkdel af den størrelse. Hafnium var i mellemtiden langt mere vilkårlig.

Begge startede som spionagekampagner, men forskellen er virkelig, hvordan de blev gennemført, siger Dmitri Alperovitch, formand for Silverado Policy Accelerator. Den russiske SolarWinds-kampagne blev lavet meget omhyggeligt, hvor russerne gik efter de mål, de holdt af, og de lukkede for adgangen alle andre steder, så hverken de eller andre kunne komme ind i de mål, der ikke var af interesse.

Sammenlign det med den kinesiske kampagne, siger han.

Den 27. februar indser de, at patchen vil udkomme, og de scanner bogstaveligt talt verden for at kompromittere alle. De efterlod web-skaller, der nu kan gøre det muligt for andre at komme ind i disse netværk, potentielt endda ransomware-aktører. Det er derfor, det er yderst hensynsløst, farligt og skal reageres på.

Masseudnyttelse

Begyndelsen på Hafnium-kampagnen var meget under radaren, siger Koessel.

Hackingen blev savnet af de fleste sikkerhedstjek: det blev først opdaget, da Volexity bemærkede mærkelige og specifikke internettrafikanmodninger til virksomhedens kunder, der kørte deres egne Microsoft Exchange-e-mail-servere.

En måned lang undersøgelse viste, at fire sjældne zero-day-bedrifter blev brugt til at stjæle hele postkasser - potentielt ødelæggende for de involverede personer og virksomheder, men på dette tidspunkt var der få ofre, og skaden var relativt begrænset. Volexity arbejdede sammen med Microsoft i ugevis for at rette op på sårbarhederne, men Koessel siger, at han så en stor ændring i slutningen af ​​februar. Ikke alene begyndte antallet af ofre at stige, men der var også en stigning i antallet af hackergrupper.

Det er ikke klart, hvordan flere statslige hackergrupper blev opmærksomme på nul-dages sårbarheder, før Microsoft offentliggjorde en meddelelse. Så hvorfor eksploderede omfanget af udnyttelsen? Måske, nogle foreslår, kan hackerne have indset, at deres tid næsten var forbi. Hvis de vidste, at der kom et plaster, hvordan fandt de så ud af det?

Jeg tror, ​​det er meget ualmindeligt at se så mange forskellige [avanceret hacking]-grupper have adgang til udnyttelsen af ​​en sårbarhed, mens detaljerne ikke er offentlige, siger Matthieu Faou, der leder forskning i Exchange-hacks for ESET. Der er to store muligheder, siger han. Enten blev detaljerne om sårbarhederne på en eller anden måde lækket til trusselsaktørerne, eller også opdagede et andet sårbarhedsforskerhold, der arbejdede for trusselsaktørerne, uafhængigt af det samme sæt sårbarheder.

Volexity så Hafnium lure i netværk i en måned og tog skridt til at sparke dem ud, før Microsoft udsendte en patch. Det kunne have været udløseren, der fik Hafnium til at eskalere. Eller, antyder Alperovitch, hackerne kunne have fundet ud af en anden måde, at en patch ville komme på – sikkerhedsteams overalt i branchen, inklusive dem hos Microsoft, udveksler regelmæssigt information om sårbarheder og rettelser på forhånd. Da Microsoft først offentliggjorde meddelelsen, sluttede endnu flere hackergrupper sig til kampen.

Dagen efter udgivelsen af ​​patcherne begyndte vi at observere mange flere trusselsaktører, der scannede og kompromitterede Exchange-servere i massevis, siger Faou. Alle undtagen én af de aktive hackergrupper er kendte regeringsstøttede hackerhold, der fokuserer på spionage. Det er dog uundgåeligt, at flere og flere trusselsaktører, herunder ransomware-operatører, får adgang til udnyttelserne før eller siden, siger han.

Da aktiviteten steg, oplevede Volexity endnu en ændring i adfærd: hackere forlod web-skaller, da de brød ind i disse systemer. Disse er simple hackingværktøjer, der tillader vedvarende fjernadgang bagdøren til inficerede maskiner, så hackeren kan kontrollere dem. De kan være effektive, men de er også relativt støjende og nemme at få øje på.

Når først hackere taber en shell på en maskine, kan de blive ved med at vende tilbage, indtil den er blevet ryddet op - selv reparation af de sårbarheder, der oprindeligt var skyld i, vil ikke rydde op i skallerne. Men selve web-skallen er knap nok sikret og kan co-opteres af andre hackere – først for at bryde ind på Exchange-serverne og stjæle e-mails og derefter for at angribe hele netværk.

Det er en dør med en lås, der let kan vælges, siger Alperovitch, en medstifter af sikkerhedsfirmaet CrowdStrike, der forlod virksomheden sidste år.

En anderledes udfordring

Hackingen fortsætter med at stige. Microsoft tog det sjældne skridt i mandags med at frigive sikkerhedsrettelser til ikke-understøttede versioner af Exchange, som normalt ville være for gamle til at sikre - et tegn på, hvor alvorligt virksomheden mener, at angrebet er. Microsoft har afvist at kommentere.

Mens Det Hvide Hus afvejer et svar, vokser risikoen. Biden-administrationen beskæftiger sig langsomt med SolarWinds sofistikerede spionage, men kaosset fra Hafnium-hackene giver en helt anden udfordring – både med at løse problemet og reagere på hackere bag det.

Der skal sendes en besked til kineserne om, at dette er uacceptabelt, hævder Alperovitch. USA er nødt til at gøre det klart, at vi vil holde dem ansvarlige for enhver skade, der skyldes, at kriminelle aktører udnytter denne adgang, siger han, og vi er nødt til at presse dem til at fjerne disse web-skaller fra alle ofrene ASAP.

skjule