13 декабря 2020 года несколько поставщиков, такие как FireEye и Microsoft сообщали о новых угрозах, исходящих от государственного злоумышленника, скомпрометировавшего SolarWinds, и троянизировали обновления бизнес-программного обеспечения SolarWinds Orion для распространения вредоносного ПО под названием SUNBURST. Из-за популярности SolarWinds от атак пострадали несколько государственных учреждений и многие компании из списка Fortune 500. Это также появилось в недавнем Директива CISA по чрезвычайным ситуациям 20-01.
Мы проанализировали декодированные домены DGA из SUNBURST и обнаружили 165 уникальных доменов, на которые повлияло вредоносное ПО. Некоторые из них могут быть жертвами, а некоторые из них могут быть связаны с обнаружением или анализом безопасности, например с песочницей. Мы обнаружили, что затронутые домены охватывают различные типы организаций (включая информационные технологии, государственное управление, образование, финансы и страхование и т. Д.) И принадлежат 25 различным странам (охватывающим все континенты, кроме Антарктиды).
1.0 Введение в компромисс цепочки поставок SolarWinds Orion
Как упоминалось в отчете FireEye, SolarWinds могли быть атакованы государственным субъектом. Но кто именно — остается загадкой. В некоторых новостных статьях высказываются предположения о связи с APT29 или Cozy Bear, российской хакерской группой, однако подробные доказательства не приводятся.
По данным SaveBreach , исследователь безопасности Винот Кумар обнаружил, что пароль от сервера обновлений SolarWinds был украден на Github еще в 2018 году. Неясно, использовали ли злоумышленники этот слабый пароль в своих атаках, но это свидетельствует о слабости системы безопасности SolarWinds.
В отчете, поданном компанией SolarWinds в Комиссию по ценным бумагам и биржам США (SEC), говорится о возможном взломе электронной почты SolarWinds через Office 365 и о том, что это могло предоставить доступ к другим данным, содержащимся в офисных приложениях компании.
Компания SolarWinds заявила, что до 18 000 ее крупных клиентов могли установить зараженную версию продуктов Orion.
2.0 Алгоритм SUNBURST DGA и связь
На сетевом уровне наиболее очевидными индикаторами компрометации, связанными с SUNBURST, являются домены, используемые в канале управления и контроля (C2). Они имеют четко выраженный шаблон и имитируют имена хостов облачных сервисов, например, 7sbvaemscs0mc925tb99.appsync-api.us-west-2.avsvmcloud.com, домен алгоритма генерации доменов (DGA).
Отчеты FireEye и Microsoft одними из первых предоставили технические подробности о вредоносном ПО SUNBURST, представляющем собой бэкдор. Из них мы знаем, что злоумышленники внедрили вредоносное обновление SolarWinds-Core-v2019.4.5220-Hotfix5.msp . Внутри этого обновления вредоносным компонентом является SolarWinds.Orion.Core.BusinessLayer.dll.
Анализируя этот бинарный файл DLL для .NET, различные исследовательские группы ( RedDrip и Prevasio ) выявили некоторые детали относительно того, как кодируются домены DGA. В целом, можно сказать, что домены следуют определенной структуре:
$ {GUID: 16byte} $ {Encoded_AD_domain} .appsync-api. $ {Region} .avsvmcloud.com
Область ${region} находится в одном из четырех значений:
- Me-West-1
- сша-запад-2
- сша-восток-1
- сша-восток-2
Часть ${GUID} получается из хеша информации на уровне хоста, поэтому её нелегко обратить вспять.
$ {Encoded_AD_domain} наиболее интересно, соответствующее значение открытого текста показывает, к какому домену принадлежит машина через вызов .NET API:
IPGlobalProperties.GetIPGlobalProperties (). DomainName
По сути, API возвращает имя домена Windows. Благодаря этому мы можем узнать, какой компании принадлежит машина.
2.1 Декодирование закодированных доменов AD
Мы используем результаты исследований RedDrip и Prevasio по алгоритмам декодирования для восстановления ${Encoded_AD_domain} . По сути, злоумышленник использует две разные функции декодирования: одна — это модифицированная функция BASE32_decode, а другая — более модифицированный алгоритм замены букв, когда доменное имя содержит только строчные буквы плюс [0_-].
3.0 Анализ зараженных доменов
Согласно сообщению CRN News , компания SolarWinds заявила, что среди ее клиентов 425 компаний из списка Fortune 500, десять крупнейших телекоммуникационных компаний США, пять ведущих аудиторских фирм США, все подразделения вооруженных сил США, Пентагон, Государственный департамент, а также сотни университетов и колледжей по всему миру.
Для анализа зараженных доменов в атаке SUNBURST Backdoor мы собрали наблюдаемые имена хостов для доменов DGA из нескольких источников. Один из основных источников находится на Github , предоставленный Bambenek Consulting , а другой — на Pastebin, полученный от Zetalytics / Zonecruncher.
Путем подачи закодированных доменов DGA в сценарий декодирования мы получили список декодированных доменных имен, которые могли быть сгенерированы жертвами бэкдорной атаки SUNBURST. После этого мы предприняли попытку вручную сопоставить декодированные доменные имена с названиями компаний / организаций через поиск Google. Нам удалось сопоставить 165 декодированных доменных имен с названием компании / организации.
ПРЕДУПРЕЖДЕНИЕ : Не было проверено, являются ли все расшифрованные домены действительными доменами Windows и действительно ли принадлежат жертвам. В значительной степени это основано на субъективной оценке. Наша форма ручного сопоставления доменных имен с названиями компаний/организаций может быть неточной.
3.1 Распределение жертв по отраслям
Мы заметили, что пострадавшие компании/организации представляют различные отрасли. Мы классифицировали их по различным категориям на основе NAICS (Североамериканской системы классификации отраслей промышленности) Бюро переписи населения США. Распределение по категориям показано на рисунке 1. Из имеющихся у нас выборок, IT-компании, организации государственного управления (например, правительственные учреждения) и организации сферы образования (например, университеты) больше всего пострадали от атаки с использованием бэкдора SUNBURST.
Рисунок 1: Распределение жертв по отраслям.
3.2 Распределение жертв по странам
Мы заметили, что компании / организации-жертвы принадлежат 25 различным странам. Их распределение по континентам показано на Рисунке 2. Воздействие атаки распространяется на весь мир.
Рисунок 2: Распределение жертв по континентам.
Страны с наибольшим количеством жертв:
| Имя страны | Количество жертв |
| США | 110 |
| Канада | 13 |
| Израиль | 5 |
| Дания | 5 |
| Австралия | 4 |
| Великобритания | 4 |
Защита от солнечного взрыва 4.0 с помощью Stellar Cyber Open XDR Платформа
Хотя SUNBURST является скрытой и изощренной угрозой, он оставляет важные следы, позволяющие идентифицировать себя.
Во-первых, для предприятий важно хранить артефакты и трассировки своих сетей в системе безопасности. озеро данных такие, как Open XDR Платформа от Stellar Cyber. Когда становится известно об атаке, предприятия по всему миру могут быстро сопоставить индикаторы с историческими данными, чтобы определить, произошла ли утечка данных. Для сложных угроз, таких как SUNBURST, домены управления и контроля (C2) и IP-адреса обычно являются сильными сигналами. В частности, для SUNBURST домен C2 имеет следующую структуру: avsvmcloud.com. Предприятиям необходимо развернуть хорошее решение NTA (NDR), способное регистрировать важные метаданные из трафика DNS и других важных протоколов приложений L7. Прием данных через журналы DNS также полезен, но он может не захватывать сигналы, если злоумышленник использует общедоступный DNS, такой как Google DNS (8.8.8.8) и т. Д. Более того, с расширенным обнаружением DGA и обнаружением других аномалий сетевого уровня от Stellar Cyber, предприятия могут раньше обнаружить неизвестные подозрительные сигналы.
Во-вторых, телеметрические данные конечных точек EDR также очень важны и полезны, наряду с сигналами сетевого уровня. Open XDR С помощью платформы Stellar Cyber предприятия могут выявлять подозрительные перемещения внутри компании и обнаруживать вредоносное ПО типа SUNBURST как посредством анализа угроз, так и путем выявления неизвестных подозрительных действий. Платформа Stellar Cyber может хранить и сопоставлять сигналы из множества источников данных и имеет средства обнаружения на основе машинного обучения для выявления неизвестных подозрительных действий.
5.0 Выводы
В этом блоге мы поделились некоторыми подсказками о том, как SolarWinds был взломан, и проанализировали данные домена DGA, показали исследование данных по затронутым доменам, а также представили некоторые предложения по защите.
