Παραβίαση δεδομένων ομοσπονδιακής κυβέρνησης ΗΠΑ 2020

Το 2020, μια μεγάλη κυβερνοεπίθεση που φέρεται ότι διέπραξε μια ομάδα με την υποστήριξη της ρωσικής κυβέρνησης παραβίασε χιλιάδες οργανισμούς παγκοσμίως, συμπεριλαμβανομένων πολλών υπηρεσιών της ομοσπονδιακής κυβέρνησης των Ηνωμένων Πολιτειών, προκαλώντας μια σειρά παραβιάσεων δεδομένων. 
Η κυβερνοεπίθεση και η παραβίαση δεδομένων θεωρούνται ως ένα από τα χειρότερα περιστατικά κυβερνοκατασκοπείας που υπέστησαν ποτέ οι ΗΠΑ, λόγω της ευαισθησίας και της σημασίας των στόχων και της μεγάλης διάρκειας (οκτώ έως εννέα μήνες) κατά την οποία είχαν πρόσβαση οι χάκερ. Μέσα σε λίγες ημέρες από την αποκάλυψή της, τουλάχιστον 200 οργανισμοί σε όλο τον κόσμο γνωστοποίησαν ότι έχουν επηρεαστεί από την επίθεση, και ορισμένοι από αυτούς ότι ενδέχεται να έχουν υποστεί παραβιάσεις δεδομένων. Στους οργανισμούς αυτούς περιλαμβάνονται το ΝΑΤΟ, η κυβέρνηση του Ηνωμένου Βασιλείου, το Ευρωπαϊκό Κοινοβούλιο, η Microsoft και άλλοι.

Η επίθεση, η οποία δεν είχε εντοπιστεί για μήνες, δημοσιοποιήθηκε για πρώτη φορά στις 13 Δεκεμβρίου 2020, και αρχικά ανακοινώθηκε ότι επηρέασε μόνο το Υπουργείο Οικονομικών των ΗΠΑ και την Εθνική Υπηρεσία Τηλεπικοινωνιών και Πληροφοριών (NTIA), μια υπηρεσία που υπάγεται στο Υπουργείο Εμπορίου των ΗΠΑ.  Τις επόμενες ημέρες όμως, πολλές υπηρεσίες και ιδιωτικοί οργανισμοί ανέφεραν παραβιάσεις.

Η κυβερνοεπίθεση ξεκίνησε το αργότερο τον Μάρτιο του 2020. Οι εισβολείς εκμεταλλεύτηκαν λογισμικό ή κωδικούς πρόσβασης από τουλάχιστον τρεις αμερικανικές εταιρείες: τη Microsoft, τη SolarWinds και τη VMware. Μια επίθεση αλυσίδας εφοδιασμού σε υπηρεσίες νέφους της Microsoft παρείχε έναν τρόπο στους εισβολείς να διεσδύσουν στα συστήματα των στόχων τους. Τέλος, τα ελαττώματα ασφαλείας σε προϊόντα της Microsoft και της VMware επέτρεψαν στους εισβολείς να αποκτήσουν πρόσβαση σε μηνύματα ηλεκτρονικού ταχυδρομείου και σε άλλα έγγραφα, και να πραγματοποιήσουν ομοσπονδιακό έλεγχο ταυτότητας σε πόρους των στόχων μέσω συστημάτων ενιαίας εισόδου.

Εκτός από την κλοπή δεδομένων, η επίθεση προκάλεσε δαπανηρή ταλαιπωρία σε δεκάδες χιλιάδες πελάτες της SolarWinds, οι οποίοι κλήθηκαν να ελέγξουν εάν είχαν παραβιαστεί, και έπρεπε να θέσουν τα συστήματα τους εκτός σύνδεσης και να ξεκινήσουν μακροχρόνιες διαδικασίες προληπτικής απολύμανσης. Ο γερουσιαστής των ΗΠΑ Ντικ Ντάρμπιν χαρακτήρισε την κυβερνοεπίθεση ως ισοδύναμη με κήρυξη πολέμου. Ο Πρόεδρος Ντόναλντ Τραμπ έμεινε σιωπηλός για μέρες μετά την επίθεση, και τελικά δήλωσε ότι η Κίνα, και όχι η Ρωσία, θα μπορούσε να είναι υπεύθυνη για την επίθεση, και ότι «όλα είναι υπό έλεγχο».

Ιστορικό 
Η έναρξη της παραβίασης της SolarWinds ξεκίνησε γύρω στο Σεπτέμβριο του 2019, όταν υπάλληλοι της SolarWinds παρατήρησαν δραστηριότητα παραβίασης στο εταιρικό τους περιβάλλον. Ο κύκλος ανάπτυξης προϊόντων παραβιάστηκε και εισήχθη κακόβουλος κώδικας στη διαδικασία δημιουργίας εκδόσεων και ενημερώσεων λογισμικού. Το προϊόν ασφαλείας FireEye εντόπισε για πρώτη φορά ασυνήθιστη κίνηση που προέρχεται από το προϊόν SolarWinds με προορισμό στη Ρωσία. Όταν ανακαλύφθηκε η παραβίαση, οι ΗΠΑ δεν διέθεταν εγκεκριμένο από τη Γερουσία Διευθυντή στην Υπηρεσία Κυβερνοασφάλειας και Υποδομών (CISA), τον κορυφαίο αξιωματούχο κυβερνοασφάλειας, που είναι υπεύθυνος για το συντονισμό της αντίδρασης σε τέτοια περιστατικά. Ο προηγούμενος, Κρις Κρεμπς, είχε απολυθεί στις 18 Νοεμβρίου 2020. Επίσης εκείνη την εποχή, το Υπουργείο Εσωτερικής Ασφάλειας (DHS), το οποίο προϊσταται της CISA, δεν διέθετε εγκεκριμένο από τη Γερουσία Γραμματέα, Αναπληρωτή Γραμματέα, Γενικό Σύμβουλο, Προϊστάμενο Πληροφοριών και Ανάλυσης και Προϊστάμενο Διαχείρισης, και ο Τραμπ είχε πρόσφατα εκδιώξει τον Αναπληρωτή Διευθυντή της CISA. Πολλές ομοσπονδιακές συστάσεις για την κυβερνοασφάλεια που έγιναν από το Γραφείο Κυβερνητικής Λογοδοσίας και άλλες υπηρεσίες δεν είχαν εφαρμοστεί.

Η SolarWinds, ένας πάροχος λογισμικού παρακολούθησης δικτύου με έδρα στο Τέξας, είχε ήδη εμφανίσει ελλείψεις ασφαλείας πριν από την επίθεση. Η SolarWinds δεν διέθετε διευθυντή ασφαλείας πληροφοριών ή διευθυντή κυβερνοασφάλειας. Οι κυβερνοεγκληματίες πωλούσαν πρόσβαση στις υποδομές της SolarWinds τουλάχιστον από το 2017. Η SolarWinds συμβούλευε τους πελάτες της να απενεργοποιήσουν εργαλεία προστασίας από ιούς πριν εγκαταστήσουν το λογισμικό της. Τον Νοέμβριο του 2019, ένας ερευνητής ασφαλείας είχε προειδοποιήσει την SolarWinds ότι ο διακομιστής FTP της δεν ήταν ασφαλής, προειδοποιώντας ότι "οποιοσδήποτε χάκερ θα μπορούσε να ανεβάσει κακόβουλα [αρχεία]" τα οποία στη συνέχεια θα μπορούσαν να διανεμηθούν στους πελάτες της. Επίσης, ο λογαριασμός Microsoft Office 365 της SolarWinds είχε παραβιαστεί και οι εισβολείς είχαν πρόσβαση σε email και πιθανώς σε άλλα έγγραφα της εταιρείας.

Στις 7 Δεκεμβρίου 2020, λίγες μέρες πριν επιβεβαιωθεί δημόσια ότι το κακόβουλα τροποποιημένο λογισμικό της SolarWinds χρησιμοποιήθηκε για να επιτεθεί σε άλλους οργανισμούς, συνταξιοδοτήθηκε ο για πολλά χρόνια Διευθύνων Σύμβουλος της Κέβιν Τόμπσον. Την ίδια ημέρα, δύο επενδυτικές εταιρείες που είχαν δεσμούς με το διοικητικό συμβούλιο της SolarWinds πούλησαν σημαντικά μερίδια μετοχών της SolarWinds. Οι εταιρείες αρνήθηκαν ότι υπήρξε εσωτερική πληροφόρηση.

Μεθοδολογία 
Χρησιμοποιήθηκαν πολλαπλές μέθοδοι διάδοσης και μόλυνσης από κακόβουλο λογισμικό κατά την παραβίαση των διαφόρων στόχων της επίθεσης.

Εκμετάλλευση ευπάθειας της Microsoft 
Οι εισβολείς εκμεταλλεύτηκαν ευπάθειες σε προϊόντα, υπηρεσίες και υποδομή διανομής λογισμικού της Microsoft.

Τουλάχιστον ένας μεταπωλητής των υπηρεσιών νέφους της Microsoft παραβιάστηκε από τους εισβολείς, συνιστώντας μια επίθεση αλυσίδας εφοδιασμού που επέτρεψε στους εισβολείς να αποκτήσουν πρόσβαση σε υπηρεσίες νέφους της Microsoft που χρησιμοποιούν οι πελάτες του μεταπωλητή.

Παράλληλα, το λεγόμενο Zerologon, μια ευπάθεια στο πρωτόκολλο ελέγχου ταυτότητας NetLogon της Microsoft, επέτρεψε στους εισβολείς να αποκτήσουν πρόσβαση σε όλα τα έγκυρα ονόματα χρήστη και κωδικούς πρόσβασης σε κάθε δίκτυο της Microsoft που παραβίασαν. Αυτό τους επέτρεψε να αποκτήσουν πρόσθετους κωδικούς που είναι απαραίτητοι για να αναλάβουν τα δικαιώματα οποιουδήποτε νόμιμου χρήστη του δικτύου, το οποίο με τη σειρά του τους επέτρεψε να διεισδύσουν στους λογαριασμούς email του Microsoft Office 365.

Επιπλέον, ένα ελάττωμα στην εφαρμογή Outlook Web της Microsoft ενδέχεται να επέτρεψε στους εισβολείς να παρακάμψουν τον έλεγχο ταυτότητας πολλαπλών παραγόντων.

Διαπιστώθηκε ότι οι εισβολείς εισέβαλαν στο Microsoft Office 365 με τρόπο που τους επέτρεψε να παρακολουθούν τα μηνύματα ηλεκτρονικού ταχυδρομείου του προσωπικού των αμερικανικών υπηρεσιών για αρκετούς μήνες. Αυτή η επίθεση προφανώς χρησιμοποίησε πλαστές ηλεκτρονικές ταυτότητες κάποιου είδους, επιτρέποντας στους εισβολείς να εξαπατήσουν τα συστήματα ελέγχου ταυτότητας της Microsoft. Η παρουσία υποδομής ενιαίας σύνδεσης αύξησε τη βιωσιμότητα της επίθεσης.

Εκμετάλλευση ευπάθειας της SolarWinds 
Και εδώ, οι εισβολείς χρησιμοποίησαν μια επίθεση αλυσίδας εφοδιασμού. Οι εισβολείς είχαν πρόσβαση στο σύστημα κατασκευής εκδόσεων λογισμικού της SolarWinds, πιθανώς μέσω του λογαριασμού Microsoft Office 365 της SolarWinds, ο οποίος είχε επίσης παραβιαστεί νωρίτερα.

Οι επιτιθέμενοι παραβίασαν το σύστημα κατασκευής εκδόσεων λογισμικού της SolarWinds το αργότερο τον Σεπτέμβριο του 2019. Στο σύστημα αυτό, οι εισβολείς τροποποίησαν κρυφά τις ενημερώσεις λογισμικού του λογισμικού παρακολούθησης δικτύου Orion. Η πρώτη γνωστή τροποποίηση, τον Οκτώβριο του 2019, ήταν απλώς μια απόδειξη της ιδέας που δεν ήταν κακόβουλη.  Μόλις η ιδέα αποδείχθηκε ότι δουλεύει, οι επιτιθέμενοι δημιουργήσαν μια υποδομή εντολών και ελέγχου μεταξύ του Δεκέμβριου 2019 και Φεβρουάριου 2020.

Τον Μάρτιο του 2020, οι επιτιθέμενοι άρχισαν να τοποθετούν κακόβουλο λογισμικό απομακρυσμένης πρόσβασης σε εκδόσεις του Orion, με αποτέλεσμα αυτό να τρέχει στα συστήματα των στόχων. Στους στόχους περιλαμβάνονταν πελάτες της κυβέρνησης των ΗΠΑ στη διοίκηση, τον στρατό και τις υπηρεσίες πληροφοριών. Μόλις ένας χρήστης εγκαθιστούσε την ενημερωμένη έκδοση, εκτελούσε το κακόβουλο λογισμικό, το οποίο θα παρέμενε αδρανές για 12-14 ημέρες πριν επιχειρήσει να επικοινωνήσει με έναν ή περισσότερους από τους πολλούς διακομιστές εντολών και ελέγχου. Οι επικοινωνίες σχεδιάστηκαν για να μιμούνται τη νόμιμη και συνηθισμένη κίνηση της SolarWinds. Εάν ήταν σε θέση να επικοινωνήσει με έναν από αυτούς τους διακομιστές, αυτό θα ειδοποιούσε τους επιτιθέμενους για την επιτυχημένη εγκατάσταση του κακόβουλου λογισμικού και θα προσέφερε στους εισβολείς μια πίσω πόρτα που θα μπορούσαν να χρησιμοποιήσουν εάν επιθυμούσαν να εκμεταλλευτούν περαιτέρω το σύστημα. Το κακόβουλο λογισμικό άρχισε να έρχεται σε επαφή με διακομιστές εντολών και ελέγχου τον Απρίλιο του 2020, αρχικά από τη Βόρεια Αμερική και την Ευρώπη και στη συνέχεια από τις άλλες ηπείρους.

Οι εισβολείς φαίνεται να έχουν χρησιμοποιήσει μόνο μικρό μέρος των επιτυχημένων εγκαταστάσεων κακόβουλου λογισμικού: αυτές που βρίσκονται σε δίκτυα υπολογιστών που ανήκουν σε στόχους υψηλής αξίας.  Μόλις απέκτησαν πρόσβαση στα δίκτυα-στόχους, οι επιτιθέμενοι εγκατέστησαν εργαλεία εκμετάλλευσης όπως το Cobalt strike και αναζήτησαν επιπλέον προσβάσεις. Επειδή το Orion ήταν συνδεδεμένο με λογαριασμούς πελατών του Office 365 ως αξιόπιστη εφαρμογή, οι εισβολείς μπόρεσαν να έχουν πρόσβαση σε email και άλλα εμπιστευτικά έγγραφα. Αυτή η πρόσβαση τους βοήθησε προφανώς να αναζητήσουν πιστοποιητικά που θα τους επέτρεπαν να υπογράψουν SAML tokens, επιτρέποντάς τους να παρουσιάζονται ως νόμιμοι χρήστες σε πρόσθετες υπηρεσίες του στόχου και σε υπηρεσίες νέφους όπως το Microsoft Azure Active Directory. Μόλις είχαν επιτευχθεί αυτές οι πρόσθετες παραβιάσεις, η απενεργοποίηση του παραβιασμένου λογισμικού Orion δεν θα ήταν πλέον αρκετή για να διακόψει την πρόσβαση των επιτιθέμενων στο δίκτυο-στόχο. Έχοντας πλέον αποκτήσει πρόσβαση σε δεδομένα ενδιαφέροντος, τα κρυπτογράφησαν και τα απαλλοτρίωσαν.

Οι επιτιθέμενοι φιλοξένησαν τους διακομιστές εντολών και ελέγχου σε εμπορικές υπηρεσίες νέφους της Amazon, της Microsoft, της GoDaddy και άλλων. Χρησιμοποιώντας διευθύνσεις IP με προέλευση από τις ΗΠΑ και επειδή μεγάλο μέρος του κακόβουλου λογισμικού ήταν νέο, οι επιτιθέμενοι μπόρεσαν να αποφύγουν την ανίχνευση από το πρόγραμμα Αϊνστάιν, ένα εθνικό σύστημα κυβερνοασφάλειας που λειτουργεί από το Υπουργείο Εσωτερικής Ασφάλειας (DHS).

Ερευνητές του FBI διαπίστωσαν ότι μια άλλη ευπάθεια στο λογισμικό της SolarWinds χρησιμοποιήθηκε από χάκερ άλλης ξένης κυβέρνησης για να εισέλθουν σε υπολογιστές της αμερικανικής κυβέρνησης.

Εκμετάλλευση ευπάθειας της VMware 
Οι ευπάθειες στα προϊόντα VMware Access και VMware Identity Manager χρησιμοποιήθηκαν το 2020 από επιτιθέμενους χάκερ από τη Ρωσία. Μέχρι τις 18 Δεκεμβρίου 2020, ενώ ήταν σαφώς γνωστό ότι ο δούρειος ίππος SUNBURST θα μπορούσε να χρησιμοποιηθεί για να εκμεταλλευτεί τις ευπάθειες της VMware, δεν ήταν ακόμη γνωστό αν οι επιτιθέμενοι είχαν στην πραγματικότητα χρησιμοποιήσει τις δύο ευπάθειες.

Ευθύνη

Συμπεράσματα από ερευνητές 
Η SolarWinds είπε ότι πίστευε ότι η εισαγωγή κακόβουλου λογισμικού στο Orion έγινε από ξένο κράτος. Υπεύθυνοι θεωρήθηκαν κάποιοι ρώσοι χάκερς. Αμερικανοί αξιωματούχοι δήλωσαν ότι υπεύθυνες για την επίθεση ήταν πιθανώς η Υπηρεσία Πληροφοριών της Ρωσίας ή η ομάδα Cozy Bear. Η εταιρεία ασφαλείας FireEye έδωσε στους υπόπτους το κωδικό όνομα "UNC2452". Η εταιρεία ασφαλεία Volexity τους ονόμασε "Dark Halo". Στις 23 Δεκεμβρίου 2020, ο διευθύνων σύμβουλος της FireEye δήλωσε ότι η Ρωσία αποτελεί τον πιθανότερος ένοχο και ότι οι επιθέσεις ήταν "πολύ συνεπείς" με την Υπηρεσία Πληροφοριών της Ρωσίας. 

Τον Ιανουάριο του 2021, η εταιρεία κυβερνοασφάλειας Kaspersky ανέφερε ότι το SUNBURST μοιάζει με το κακόβουλο λογισμικό Kazuar, το οποίο θεωρείται ότι δημιουργήθηκε από την ομάδα Turla, μια ομάδα γνωστή από το 2008 που η εσθονική υπηρεσία πληροφοριών έχει συνδέσει με τη ρωσική ομοσπονδιακή υπηρεσία ασφαλείας, FSB.

Δηλώσεις κυβερνητικών αξιωματούχων των ΗΠΑ 
Στις 22 Οκτωβρίου 2020, η CISA και το FBI προσδιόρισαν ως εισβολέα του zerologon της Microsoft τη ρωσική ομάδα Berserk Bear, μια ομάδα που χρηματοδοτήθηκε από το κράτος και θεωρείται ότι είναι συνδεδεμένη με τη ρωσική υπηρεσία ασφαλείας FSB.

Στις 18 Δεκεμβρίου 2020, ο υπουργός Εξωτερικών των ΗΠΑ Μάικ Πομπέο δήλωσε ότι η Ρωσία ήταν «σαφώς» υπεύθυνη για την κυβερνοεπίθεση.

Στις 19 Δεκεμβρίου, ο πρόεδρος των ΗΠΑ Ντόναλντ Τραμπ μίλησε για πρώτη φορά δημόσια για τις επιθέσεις, προτείνοντας χωρίς αποδείξεις ότι η Κίνα, και όχι η Ρωσία, μπορεί να είναι υπεύθυνη. Την ίδια ημέρα, ο Ρεπουμπλικανός γερουσιαστής Μάρκο Ρούμπιο, αναπληρωτής πρόεδρος της Επιτροπής Πληροφοριών της Γερουσίας, δήλωσε ότι "ήταν όλο και πιο σαφές ότι οι ρωσικές υπηρεσίες πληροφοριών πραγματοποίησαν τη σοβαρότερη κυβερνοεπίθεση στην ιστορία μας". 

Στις 20 Δεκεμβρίου, ο γερουσιαστής των Δημοκρατικών Μαρκ Ουόρνερ, αφού ενημερώθηκε για το περιστατικό από αξιωματούχους πληροφοριών, δήλωσε ότι "όλες οι ενδείξεις δείχνουν τη Ρωσία".

Στις 21 Δεκεμβρίου 2020, ο πρώην Γενικός Εισαγγελέας Γουίλιαμ Μπαρ δήλωσε ότι συμφώνησε με την εκτίμηση του Πομπέο σχετικά με την προέλευση της κυβερνοεπίθεσης και ότι «σίγουρα φαίνεται να είναι οι Ρώσοι», σε αντίθεση με τον Τραμπ.

Στις 5 Ιανουαρίου 2021, η CISA, το FBI, η NSA και το Γραφείο του Διευθυντή Εθνικών Πληροφοριών, επιβεβαίωσαν όλοι ότι πιστεύουν ότι η Ρωσία ήταν ο πιο πιθανός ένοχος. Στις 10 Ιουνίου 2021, ο διευθυντής του FBI Κρίστοφερ Ρέι απέδωσε συγκεκριμένα την επίθεση στην Υπηρεσία Πληροφοριών της Ρωσίας.

Άρνηση συμμετοχής 
Η ρωσική κυβέρνηση αρνήθηκε οποιαδήποτε συμμετοχή. Ο επικεφαλής της ρωσικής κατασκοπίας αρνήθηκε την ευθύνη για την κυβερνοεπίθεση, αλλά είπε ότι «κολακεύτηκε» από τις κατηγορίες των ΗΠΑ και της Βρετανίας ότι οι ρωσικές υπηρεσίες ήταν πίσω από μια τόσο περίπλοκη επίθεση.

Το κινεζικό υπουργείο Εξωτερικών εξέδωσε δήλωση που ανέφερε ότι "η Κίνα αντιτίθεται αποφασιστικά και καταπολεμά κάθε μορφή κυβερνοεπιθέσεων και κλοπής στον κυβερνοχώρο."

Επιπτώσεις 
Η SolarWinds ανακοίνωσε ότι από τους 300.000 πελάτες της, οι 33.000 χρησιμοποιούν το λογισμικό Orion. Από αυτούς, περίπου 18.000 κυβερνητικές υπηρεσίες και επιχειρήσεις κατέβασαν και χρησιμοποίησαν τις παραβιασμένες εκδόσεις.

Η ανακάλυψη των παραβιάσεων στα Υπουργεία Οικονομικών και Εμπορίου των ΗΠΑ προκάλεσε αμέσως ανησυχίες ότι οι επιτιθέμενοι θα προσπαθούσαν να παραβιάσουν και άλλες υπηρεσίες, ή θα το είχαν ήδη κάνει. Οι έρευνες που ακολούθησαν απέδειξαν ότι αυτές οι ανησυχίες ήταν βάσιμες. Μέσα σε λίγες μέρες, διαπιστώθηκε παραβίαση και άλλων ομοσπονδιακών υπηρεσιών. Το Reuters ανέφερε μια ανώνυμη πηγή της κυβέρνησης των ΗΠΑ να δηλώνει τα εξής: «Αυτή είναι μια πολύ μεγαλύτερη ιστορία από μια μεμονωμένη υπηρεσία. Πρόκειται για μια τεράστια εκστρατεία κυβερνοκατασκοπείας που στοχεύει την κυβέρνηση των ΗΠΑ και τα συμφέροντά της."

Οι παραβιασμένες εκδόσεις ήταν γνωστό ότι έχουν ληφθεί από τα Κέντρα Ελέγχου και Πρόληψης Νοσημάτων, το Υπουργείο Δικαιοσύνης και ορισμένες εταιρείες κοινής ωφέλειας. Άλλες εξέχουσες αμερικανικές οργανώσεις που είναι γνωστό ότι χρησιμοποιούν προϊόντα SolarWinds, αν και όχι απαραίτητα το Orion, ήταν το Εθνικό Εργαστήριο του Λος Άλαμος, η Boeing και οι περισσότερες από τις εταιρείες του Fortune 500. Εκτός ΗΠΑ, οι πελάτες της SolarWinds περιελάμβαναν υπηρεσίες της βρετανικής κυβέρνησης, συμπεριλαμβανομένου του Υπουργείου Εσωτερικών, της Εθνικής Υπηρεσίας Υγείας, και των υπηρεσιών πληροφοριών για τα σήματα. Επίσης το ΝΑΤΟ, το Ευρωπαϊκό Κοινοβούλιο και πιθανώς η AstraZeneca. Η εταιρεία FireEye δήλωσε ότι ενδέχεται να έχουν επηρεαστεί επίσης και άλλες κυβερνητικοί, συμβουλευτικοί, τεχνολογικοί, τηλεπικοινωνιακοί και εξορυκτικοί οργανισμοί στη Βόρεια Αμερική, την Ευρώπη, την Ασία και τη Μέση Ανατολή.

Μέσω της χειραγώγησης των κλειδιών λογισμικού, οι χάκερ είχαν τη δυνατότητα πρόσβασης στα συστήματα ηλεκτρονικού ταχυδρομείου που χρησιμοποιούν οι ανώτεροι αξιωματούχοι του Υπουργείου Οικονομικών. Αυτό το σύστημα, αν και δεν ήταν διαβαθμισμένο, είναι ιδιαίτερα ευαίσθητο λόγω του ρόλου του Υπουργείου Οικονομικών στη λήψη αποφάσεων που επηρεάζουν τις αγορές, καθώς και αποφάσεων για οικονομικές κυρώσεις και αλληλεπιδράσεις με την Ομοσπονδιακή Τράπεζα των ΗΠΑ.

Η απλή λήψη μιας παραβιασμένης έκδοσης του Orion δεν ήταν απαραίτητα αρκετή για να οδηγήσει σε παραβίαση δεδομένων. Απαιτήθηκαν περαιτέρω έρευνες ανά περίπτωση για να εξακριβωθεί εάν προέκυψε παραβίαση. Αυτές οι έρευνες περιπλέχθηκαν από α) το γεγονός ότι οι επιτιθέμενοι είχαν διαγράψει σε ορισμένες περιπτώσεις αποδεικτικά στοιχεία, β) την ανάγκη διατήρησης χωριστών ασφαλών δικτύων δεδομένου ότι τα κύρια δίκτυα των οργανώσεων θεωρούνταν παραβιασμένα και γ) το γεγονός ότι το λογισμικό Orion ήταν το ίδιο εργαλείο παρακολούθησης δικτύου, χωρίς το οποίο οι ερευνητές είχαν λιγότερη πληροφόρηση για τα δίκτυα τους. Από τα μέσα Δεκεμβρίου 2020, οι έρευνες αυτές ήταν σε εξέλιξη.

Από τα μέσα Δεκεμβρίου 2020, Αμερικανοί αξιωματούχοι εξακολουθούσαν να ερευνούν τι είχε υποκλαπεί στις περιπτώσεις όπου σημειώθηκαν παραβιάσεις και προσπαθούσαν να προσδιορίσουν πώς θα μπορούσε να χρησιμοποιηθεί. Διάφοροι σχολιαστές υποστήριξαν ότι οι πληροφορίες που υπεκλάπησαν θα αυξήσουν την επιρροή του δράστη κατά τα επόμενα χρόνια. Πιθανές χρήσεις των δεδομένων θα μπορούσαν να περιλαμβάνουν επιθέσεις σε ισχυρότερους στόχους όπως η CIA και η NSA ή ο εκβιασμός για την στρατολόγηση κατασκόπων. Ο καθηγητής Τόμας Ριντ υποστήριξε ότι τα κλεμμένα δεδομένα θα μπορούσαν να χρησιμοποιηθούν με διάφρους τρόπους. Πρόσθεσε ότι ο όγκος των δεδομένων που απαλλοτριώθηκε ήταν πιθανότατα πολύ μεγαλύτερος από ό, τι κατά τη διάρκεια του Moonlight Maze (μια υπόθεση παραβίασης απόρρητων δεδομένων του 1999), και εάν εκτυπωθεί θα σχηματίσει μια στοίβα πολύ ψηλότερη από το Μνημείο του Ουάσιγκτον.

Ακόμη και αν τα δεδομένα δεν απαλλοτριώθηκαν, ο αντίκτυπος ήταν σημαντικός. Ο Οργανισμός για την Κυβερνοασφάλεια και την Ασφάλεια Υποδομών (CISA) εξέδωσε σύσταση να επανεγκατασταθούν όλες οι επηρεαζόμενες συσκευές από αξιόπιστες πηγές και να θεωρηθούν παραβιασμένοι όλοι οι κωδικοί πρόσβασης που εκτίθενται στο λογισμικό SolarWinds και κατά συνέπεια να αντικατασταθούν. Επιπλέον, εταιρείες κατά του κακόβουλου λογισμικού συνιστούσαν να γίνει αναζήτηση στα αρχεία καταγραφής για συγκεκριμένους δείκτες παραβίασης.

Ωστόσο, φάνηκε ότι οι εισβολείς είχαν διαγράψει ή τροποποιήσει τις εγγραφές και ενδέχεται να έχουν τροποποιήσει τις ρυθμίσεις δικτύου ή συστήματος με τρόπους που θα μπορούσαν να απαιτούν μη αυτόματο έλεγχο. Ο πρώην σύμβουλος εσωτερικής ασφάλειας Τόμας Π. Μπόσερτ προειδοποίησε ότι μπορεί να χρειαστούν χρόνια για να εκδιώξουν τους επιτιθέμενους από τα δίκτυα των ΗΠΑ, αφήνοντάς τους σε θέση να συνεχίσουν να παρακολουθούν, να καταστρέφουν ή να αλλοιώνουν τα δεδομένα στο μεταξύ. Ο Μπρους Σνάιερ του Harvard και ο Πάνος Γιαννακογεώργος του NYU, ιδρυτικός πρύτανης του Air Force Cyber College, δήλωσαν ότι τα πληγέντα δίκτυα μπορεί να χρειαστεί να αντικατασταθούν πλήρως.

Έρευνες και αντιδράσεις

Τεχνολογικές εταιρείες και επιχειρήσεις 
Στις 8 Δεκεμβρίου 2020, πριν γνωστοποιηθούν παραβιάσεις άλλων οργανισμών, η FireEye δημοσίευσε αντίμετρα κατά των εργαλείων της κόκκινης ομάδας που είχαν κλαπεί από την FireEye.

Στις 15 Δεκεμβρίου 2020, η Microsoft ανακοίνωσε ότι το SUNBURST, το οποίο επηρεάζει μόνο τις πλατφόρμες των Windows, είχε προστεθεί στη βάση δεδομένων κακόβουλου λογισμικού της Microsoft και, από τις 16 Δεκεμβρίου και μετά, θα ανιχνευόταν και θα απενεργοποιούταν από το Microsoft Defender.

Η GoDaddy παρέδωσε στην Microsoft την κυριότητα ενός τομέα εντολών και ελέγχου που χρησιμοποιήθηκε κατά την επίθεση, επιτρέποντας στη Microsoft να ενεργοποιήσει ένα killswitch στο κακόβουλο λογισμικό SUNBURST και να ανακαλύψει ποιοι πελάτες της SolarWinds μολύνθηκαν.

Στις 14 Δεκεμβρίου 2020, οι διευθύνοντες σύμβουλοι πολλών αμερικανικών εταιρειών κοινής ωφελείας συσκέφθηκαν για να συζητήσουν τους κινδύνους που ενέχουν οι επιθέσεις στο δίκτυο ηλεκτρικής ενέργειας. Στις 22 Δεκεμβρίου 2020, η North American Electric Reliability Corporation ζήτησε από τις εταιρείες ηλεκτρικής ενέργειας να αναφέρουν το επίπεδο έκθεσής τους στο λογισμικό Solarwinds.

Η SolarWinds κατάργησε τη δημοσίευση της λίστας των πελατών της μετά την παραβίαση, αν και από τις 15 Δεκεμβρίου, η εταιρεία κυβερνοασφάλειας GreyNoise Intelligence δήλωσε ότι η SolarWinds δεν είχε αφαιρέσει τις μολυσμένες ενημερώσεις λογισμικού από τον διακομιστή διανομής της.

Γύρω στις 5 Ιανουαρίου 2021, οι επενδυτές της SolarWinds υπέβαλαν αγωγή εναντίον της εταιρείας σε σχέση με τις αποτυχίες ασφαλείας και την επακόλουθη πτώση της τιμής της μετοχής. Λίγο αργότερα, η SolarWinds προσέλαβε μια νέα εταιρεία κυβερνοασφάλειας που ιδρύθηκε από τον Κρις Κρεμπς.

Το Ίδρυμα Linux επεσήμανε ότι εάν το Orion ήταν ανοιχτού κώδικα, οι χρήστες θα μπορούσαν να το ελέγξουν, μεταξύ άλλων μέσω αναπαραγώγιμων εκδόσεων, καθιστώντας πολύ πιο πιθανό ότι το κακόβουλο λογισμικό θα είχε εντοπιστεί.

Κυβέρνηση των ΗΠΑ 
Στις 18 Δεκεμβρίου 2020, ο υπουργός Εξωτερικών των ΗΠΑ Μάικ Πομπέο είπε ότι ορισμένες λεπτομέρειες της υπόθεσης πιθανότατα θα διαβαθμιστούν ώστε να μην δημοσιοποιηθούν.

Υπηρεσίες ασφαλείας 
Στις 12 Δεκεμβρίου 2020, πραγματοποιήθηκε συνεδρίαση του Συμβουλίου Εθνικής Ασφαλείας στον Λευκό Οίκο για να συζητηθεί η παραβίαση ομοσπονδιακών οργανισμών. Στις 13 Δεκεμβρίου 2020, η CISA εξέδωσε οδηγία έκτακτης ανάγκης ζητώντας από τις ομοσπονδιακές υπηρεσίες να απενεργοποιήσουν το λογισμικό SolarWinds, για να μειώσουν τον κίνδυνο πρόσθετων εισβολών, παρόλο που κάτι τέτοιο θα μείωνε την ικανότητα αυτών των οργανισμών να παρακολουθούν τα δίκτυα υπολογιστών τους. Η ρωσική κυβέρνηση είπε ότι δεν συμμετείχε στις επιθέσεις.

Στις 14 Δεκεμβρίου 2020, το Υπουργείο Εμπορίου επιβεβαίωσε ότι ζήτησε από τη CISA και το FBI να ερευνήσουν. Το Συμβούλιο Εθνικής Ασφαλείας ενεργοποίησε την Οδηγία Προεδρικής Πολιτικής 41, ένα σχέδιο έκτακτης ανάγκης από την εποχή του Ομπάμα και συγκάλεσε την Ομάδα Ανταπόκρισης στον Κυβερνοχώρο. Η Κυβερνο-Διοίκηση των ΗΠΑ απείλησε με ταχεία αντίποινα εναντίον των επιτιθέμενων, εν αναμονή του αποτελέσματος των ερευνών.

Το Υπουργείο Ενέργειας βοήθησε να αντισταθμίσει το έλλειμμα προσωπικού στη CISA, διαθέτοντας πόρους για να βοηθήσει την Ομοσπονδιακή Ρυθμιστική Επιτροπή Ενέργειας (FERC) να ανακάμψει από την επίθεση στον κυβερνοχώρο. Το FBI, το CISA και το Γραφείο του Διευθυντή της Εθνικής Ασφάλειας (ODNI) δημιούργησαν μια ομάδα συντονισμού στον κυβερνοχώρο (UCG) για να συντονίσουν τις προσπάθειές τους.

Στις 24 Δεκεμβρίου 2020, η CISA είπε ότι τα δίκτυα πολιτειών και τοπικής αυτοδιοίκησης, εκτός από τα ομοσπονδιακά, και άλλους οργανισμούς, είχαν επηρεαστεί από την επίθεση, αλλά δεν έδωσε περισσότερες λεπτομέρειες.

Κογκρέσο 
Η υποεπιτροπή κυβερνοασφάλειας της Επιτροπής Ένοπλων Υπηρεσιών της Γερουσίας ενημερώθηκε από αξιωματούχους του Υπουργείου Άμυνας. Η Κοινοβουλευτική Επιτροπή Εσωτερικής Ασφάλειας και η Επιτροπή Παρακολούθησης και Μεταρρύθμισης του Σώματος ανακοίνωσαν έρευνα. Ο Μάρκο Ρούμπιο, αναπληρωτής πρόεδρος της Επιτροπής Πληροφοριών της Γερουσίας, δήλωσε ότι οι ΗΠΑ πρέπει να προβούν σε αντίποινα, αλλά μόνο όταν ο δράστης είναι σίγουρος. Ο αντιπρόεδρος της επιτροπής, Μαρκ Ουόρνερ, επέκρινε τον Πρόεδρο Τραμπ για την αποτυχία του να αναγνωρίσει ή να αντιδράσει στην παραβίαση.

Ο γερουσιαστής Ρον Γουάιντεν ζήτησε υποχρεωτικές αναθεωρήσεις ασφαλείας του λογισμικού που χρησιμοποιούν οι ομοσπονδιακές υπηρεσίες.

Στις 22 Δεκεμβρίου 2020, αφού ο υπουργός Οικονομικών των ΗΠΑ, Στίβεν Μενούτσεν, δήλωσε στους δημοσιογράφους ότι "ήταν εντελώς πάνω από αυτό", η Επιτροπή Οικονομικών της Γερουσίας ενημερώθηκε από τη Microsoft ότι παραβιάστηκαν δεκάδες λογαριασμοί ηλεκτρονικού ταχυδρομείου του Υπουργείου Οικονομικών και οι επιτιθέμενοι είχαν πρόσβαση σε συστήματα, τα οποία εξυπηρετούν ανώτερους υπαλλήλους του Υπουργείου Οικονομικών Ο γερουσιαστής Γουάιντεν είπε ότι η ενημέρωση έδειξε ότι το Υπουργείο Οικονομικών "δεν γνωρίζει ακόμη όλες τις ενέργειες που ανέλαβαν οι χάκερς ή ποιες ακριβώς πληροφορίες έχουν κλαπεί".

Στις 23 Δεκεμβρίου 2020, ο γερουσιαστής Μπομπ Μενέντεζ ζήτησε από το Στέιτ Ντιπάρτμεντ να σταματήσει τη σιωπή του σχετικά με την έκταση της παραβίασής του και ο γερουσιαστής Ρίτσαρντ Μπλούμενταλ ζήτησε το ίδιο από την διοίκηση των βετεράνων.

Ο Πρόεδρος Τραμπ 
Ο Πρόεδρος Ντόναλντ Τραμπ δεν σχολίασε την επίθεση για μέρες μετά την αναφορά του, οδηγώντας τον γερουσιαστή Μιτ Ρόμνεϊ να αποδοκιμάσει τη «σιωπή και αδράνεια» του. Στις 19 Δεκεμβρίου, ο Τραμπ απάντησε δημόσια για πρώτη φορά και υποβάθμισε την επίθεση, ισχυριζόμενος ότι τα μέσα ενημέρωσης είχαν ξεπεράσει τη σοβαρότητα του περιστατικού και λέγοντας ότι "όλα είναι καλά υπό έλεγχο". Πρότεινε, χωρίς αποδείξεις, ότι η Κίνα, και όχι η Ρωσία, ενδέχεται να είναι υπεύθυνη για την επίθεση. Ο Τραμπ έπειτα άλλαξε θέμα επιμένοντας ότι είχε κερδίσει τις προεδρικές εκλογές του 2020. Υποστήριξε, χωρίς αποδεικτικά στοιχεία, ότι η επίθεση θα μπορούσε επίσης να είχε «επηρεάσει» τις μηχανές ψηφοφορίας. Ο ισχυρισμός του Τραμπ αμφισβητήθηκε από τον πρώην διευθυντή της CISA Κρις Κρεμπς, ο οποίος επεσήμανε ότι ο ισχυρισμός του Τραμπ δεν ήταν δυνατός. Ο Άνταμ Σιφ, πρόεδρος της Κοινοβουλευτικής Επιτροπής Πληροφοριών, χαρακτήρισε τις δηλώσεις του Τραμπ ως ανέντιμες, αποκαλώντας το σχόλιο ως «σκανδαλώδη προδοσία της εθνικής μας ασφάλειας» που «ακούγεται σαν να μπορούσε να είχε γραφτεί στο Κρεμλίνο».

Ο πρώην σύμβουλος εσωτερικής ασφάλειας Τόμας Π. Μπόσερτ δήλωσε: "Ο Πρόεδρος Τραμπ βρίσκεται στα πρόθυρα να αφήσει πίσω του μια ομοσπονδιακή κυβέρνηση, και ίσως έναν μεγάλο αριθμό μεγάλων βιομηχανιών, που έχουν παραβιαστεί από τη ρωσική κυβέρνηση" και σημείωσε ότι απατείται δράση του Κογκρέσου για τον μετριασμό των ζημιών που προκλήθηκαν από τις επιθέσεις.

Ο Πρόεδρος Μπάιντεν 
Ο τότε εκλεγμένος πρόεδρος Τζο Μπάιντεν δήλωσε ότι θα ταυτοποιήσει και θα τιμωρήσει τους επιτιθέμενους. Ο επερχόμενος Επικεφαλής του Επιτελείου του Λευκού Οίκου του Μπάιντεν, Ρον Κλάιν, δήλωσε ότι η απάντηση της κυβέρνησης Μπάιντεν θα επεκταθεί πέραν των κυρώσεων. Στις 22 Δεκεμβρίου 2020, ο Μπάιντεν ανέφερε ότι η μεταβατική ομάδα του δεν είχε ακόμη πρόσβαση σε ορισμένες ενημερώσεις σχετικά με την επίθεση από αξιωματούχους της διοίκησης του Τραμπ.

Τον Ιανουάριο του 2021, ο Μπάιντεν διόρισε την Ελίζαμπεθ Σέργουντ-Ράνταλ ως σύμβουλο εσωτερικής ασφαλείας και την Αν Νόιμπεργκερ ως αναπληρωτή σύμβουλο εθνικής ασφάλειας για τον κυβερνοχώρο και τις αναδυόμενες τεχνολογίες.

Τον Μάρτιο του 2021, η κυβέρνηση Μπάιντεν εξέφρασε αυξανόμενες ανησυχίες για την παραβίαση, και η Γραμματέας Τύπου του Λευκού Οίκου Τζένιφερ Ψάκι τη χαρακτήρισε «ενεργή απειλή». Εν τω μεταξύ, οι The New York Times ανέφεραν ότι η κυβέρνηση των ΗΠΑ σχεδίαζε οικονομικές κυρώσεις, καθώς και «μια σειρά μυστικών ενεργειών στα ρωσικά δίκτυα» ως αντίποινα.

Στις 15 Απριλίου 2021, οι Ηνωμένες Πολιτείες απέλασαν 10 Ρώσους διπλωμάτες και εξέδωσαν κυρώσεις εναντίον 6 ρωσικών εταιρειών που υποστηρίζουν επιχειρήσεις στον κυβερνοχώρο, καθώς και 32 άτομα και οντότητες για το ρόλο τους στην παραβίαση και στη ρωσική παρέμβαση στις εκλογές για τις Ηνωμένες Πολιτείες το 2020.

Ο υπόλοιπος κόσμος 
Το ΝΑΤΟ είπε ότι «αξιολογεί επί του παρόντος την κατάσταση, με σκοπό να εντοπίσει και να μετριάσει τυχόν πιθανούς κινδύνους για τα δίκτυά μας». Στις 18 Δεκεμβρίου, το Εθνικό Κέντρο Κυβερνοασφάλειας του Ηνωμένου Βασιλείου δήλωσε ότι εξακολουθεί να διερευνά τον αντίκτυπο των επιθέσεων στο Ηνωμένο Βασίλειο. Οι υπηρεσίες κυβερνοασφάλειας στο Ηνωμένο Βασίλειο και την Ιρλανδία δημοσίευσαν προειδοποιήσεις προς τους πελάτες της SolarWinds.

Στις 23 Δεκεμβρίου 2020, το Γραφείο Επιτρόπου Πληροφοριών του Ηνωμένου Βασιλείου - μια εθνική αρχή απορρήτου - ζήτησε από τους οργανισμούς του Ηνωμένου Βασιλείου να ελέγξουν αμέσως εάν επηρεάστηκαν.

Στις 24 Δεκεμβρίου 2020, το Καναδικό Κέντρο για την Κυβερνοασφάλεια ζήτησε από τους χρήστες της SolarWinds στον Καναδά να ελέγξουν τα συστήματα τους για παραβιάσεις.

Κυβερνοκατασκοπεία ή κυβερνοεπίθεση; 
Η επίθεση προκάλεσε μια συζήτηση σχετικά με το αν η υπόθεση πρέπει να αντιμετωπίζεται ως κυβερνοκατασκοπεία  ή ως κυβερνοεπίθεση που αποτελεί πράξη πολέμου. Οι περισσότεροι εν ενεργεία και πρώην αξιωματούχοι των ΗΠΑ θεώρησαν ότι το ρωσικό χτύπημα ήταν ένα «εντυπωσιακό και ενοχλητικό επίτευγμα κατασκοπείας», αλλά όχι κυβερνοεπίθεση, επειδή οι Ρώσοι δεν φάνηκε να καταστρέφουν ή να χειραγωγούν δεδομένα ή να προκαλούν καταστροφές (για παράδειγμα, στο ηλεκτρικό δίκτυο). Η Ερίκα Μπόργκαρντ του Atlantic Council και η Ζακλίν Σνάιντερ του Ιδρύματος Hoover υποστήριξαν ότι η παραβίαση ήταν μια πράξη κατασκοπείας που θα μπορούσε να απαντηθεί με "συλλήψεις, διπλωματία ή αντιπαραθέσεις" και δεν έχει αποδειχθεί ως κυβερνοεπίθεση, μια ταξινόμηση που θα επιτρέψει νομικά στις ΗΠΑ να ανταποκριθούν με δύναμη. Ο καθηγητής νομικής Τζακ Γκόλντσμιθ έγραψε ότι η παραβίαση ήταν μια βλαβερή πράξη κυβερνοκατασκοπείας, αλλά "δεν παραβιάζει το διεθνές δίκαιο ή τους κανόνες" και έγραψε ότι "λόγω των δικών της πρακτικών, η κυβέρνηση των ΗΠΑ έχει παραδοσιακά αποδεχθεί τη νομιμότητα της ηλεκτρονικής κατασκοπείας ξένων κυβερνήσεων στα κυβερνητικά δίκτυα των ΗΠΑ." Ο καθηγητής νομικής Μάικλ Σμιτ συμφώνησε, επικαλούμενος το εγχειρίδιο του Ταλίν.

Αντίθετα, ο πρόεδρος της Microsoft Μπράντ Σμιθ χαρακτήρισε το συμβάν κυβερνοεπίθεση δηλώνοντας ότι «δεν ήταν συνήθης κατασκοπεία, ακόμη και στην ψηφιακή εποχή», επειδή «δεν ήταν απλώς μια επίθεση σε συγκεκριμένους στόχους, αλλά στην εμπιστοσύνη και την αξιοπιστία των κρίσιμων υποδομών του κόσμου.» Ο γερουσιαστής Ντικ Ντάρμπιν  χαρακτήρισε την επίθεση ισοδύναμη με κήρυξη πολέμου.

Παραπομπές 

Κυβερνοεπιθέσεις
Σελίδες με μη επιθεωρημένες μεταφράσεις