Атака, получившая название SUNBURST в коммуникациях SolarWinds, затронула версии Orion с 2019.4 по 2020.2.1, выпущенные в период с марта по июнь 2020 года.
Для осуществления атаки хакеры модифицировали плагин платформы Orion, распространяемый в составе обновлений платформы. Плагин, имеющий цифровую подпись SolarWinds, содержал бэкдор, который связывался с серверами третьих лиц, подконтрольными злоумышленникам. Получив первоначальный доступ к пострадавшим организациям, злоумышленники могли красть данные, развертывать вредоносный код или иным образом нарушать бизнес-процессы.
За атакой стоял искушенный противник с глубоким пониманием оперативной безопасности. Судя по общедоступным данным, этот противник приложил значительные усилия для уклонения от обнаружения, включая обфускацию кода и методы очистки следов, такие как стеганография, методы снятия отпечатков для идентификации целевых систем и систем анализа, смену инфраструктуры с упором на геолокационную близость, а также выполнение кода непосредственно в оперативной памяти в максимально возможных объемах.
Эти методы в сочетании с использованием подписанного цифровой подписью компонента доверенной программной платформы в качестве вектора первоначального заражения указывают на высококвалифицированного и скрытного противника, готового потратить ресурсы для обеспечения успеха своей операции.
Реакция США и санкции после атаки
Атака затронула множество известных федеральных ведомств США, включая Министерство юстиции (DOJ), Министерство внутренней безопасности (DHS) и Министерство финансов, среди прочих. Она скомпрометировала среды электронной почты Microsoft 365 различных федеральных агентств, что составило «крупный инцидент», потребовавший защитной реакции.
Заявление Белого дома в апреле 2021 года подтвердило, что администрация Байдена «возложит издержки на Россию за действия ее правительства и разведывательных служб против суверенитета и интересов США». Эти меры были направлены против российских правительственных, коммерческих и разведывательных структур, включая высылку из США дипломатических представителей российских разведывательных служб.
В том же заявлении Служба внешней разведки (СВР) России была официально названа организатором атаки. Агентство по кибербезопасности и защите инфраструктуры (CISA), Федеральное бюро расследований (ФБР) и Агентство национальной безопасности (АНБ) выпустили совместное предупреждение по безопасности, содержащее дополнительные подробности.
