Here's How SolarWinds Hackers Stayed Undetected for Long Enough
شاركت Microsoft يوم الأربعاء المزيد من التفاصيل حول التكتيكات والتقنيات والإجراءات (TTPs) التي اعتمدها المهاجمون وراء اختراق SolarWinds للبقاء تحت الرادار وتجنب الاكتشاف، حيث تعمل شركات الأمن السيبراني على الحصول على "صورة أوضح" لواحد من أكثر هجمات متطورة في التاريخ الحديث.
وصفت الشركة ممثل التهديد بأنه "مشغّلون ماهرون ومنهجيون يتبعون أفضل ممارسات أمن العمليات (operations security OpSec)"، قالت الشركة إن المهاجمين بذلوا قصارى جهدهم للتأكد من أن الباب الخلفي الأولي (Sunburst المعروف أيضًا باسم Solorigate) والغرسات بعد التسوية (Teardrop and Raindrop) قدر الإمكان لإعاقة الجهود المبذولة لاكتشاف نشاطهم الضار.
قال باحثون من Microsoft 365 Defender Research Team و Microsoft Threat Intelligence Center (MSTIC) و Microsoft Cyber Defense Operations Center (CDOC): "المهاجمون الذين يقفون وراء Solorigate هم مشغلو حملات ماهرون خططوا ونفذوا الهجوم بعناية، وظلوا بعيد المنال مع الحفاظ على المثابرة". .
في حين أن الهوية الدقيقة للمجموعة المتعقبة مثل StellarParticle (CrowdStrike) و UNC2452 (FireEye) و SolarStorm (Palo Alto Unit 42) و Dark Halo (Volexity) لا تزال غير معروفة حتى الآن، ربطت الحكومة الأمريكية في وقت سابق من هذا الشهر رسميًا حملة التجسس بـ مجموعة من المحتمل أن تكون من أصل روسي.
وصفت الشركة ممثل التهديد بأنه "مشغّلون ماهرون ومنهجيون يتبعون أفضل ممارسات أمن العمليات (operations security OpSec)"، قالت الشركة إن المهاجمين بذلوا قصارى جهدهم للتأكد من أن الباب الخلفي الأولي (Sunburst المعروف أيضًا باسم Solorigate) والغرسات بعد التسوية (Teardrop and Raindrop) قدر الإمكان لإعاقة الجهود المبذولة لاكتشاف نشاطهم الضار.
قال باحثون من Microsoft 365 Defender Research Team و Microsoft Threat Intelligence Center (MSTIC) و Microsoft Cyber Defense Operations Center (CDOC): "المهاجمون الذين يقفون وراء Solorigate هم مشغلو حملات ماهرون خططوا ونفذوا الهجوم بعناية، وظلوا بعيد المنال مع الحفاظ على المثابرة". .
في حين أن الهوية الدقيقة للمجموعة المتعقبة مثل StellarParticle (CrowdStrike) و UNC2452 (FireEye) و SolarStorm (Palo Alto Unit 42) و Dark Halo (Volexity) لا تزال غير معروفة حتى الآن، ربطت الحكومة الأمريكية في وقت سابق من هذا الشهر رسميًا حملة التجسس بـ مجموعة من المحتمل أن تكون من أصل روسي.
مجموعة متنوعة من التكتيكات للبقاء غير مكتشفة A Variety of Tactics to Stay Undetected
يُظهر الجدول الزمني لشركة Microsoft للهجمات أنه تم تجميع الباب الخلفي Sunburst DLL كامل الوظائف ونشره على منصة Orion الخاصة بـ SolarWinds في 20 فبراير، وبعد ذلك تم توزيعه في شكل تحديثات تم التلاعب بها في وقت ما في أواخر مارس.
يُظهر الجدول الزمني لشركة Microsoft للهجمات أنه تم تجميع الباب الخلفي Sunburst DLL كامل الوظائف ونشره على منصة Orion الخاصة بـ SolarWinds في 20 فبراير، وبعد ذلك تم توزيعه في شكل تحديثات تم التلاعب بها في وقت ما في أواخر مارس.
مهّدت فترة استطلاع دامت شهرين تقريبًا لتحديد ملامح أهدافها- وهو أمر يتطلب مثابرة خفية للبقاء غير مكتشفة وجمع معلومات قيمة- في النهاية مهدت الطريق لنشر غرسات Cobalt Strike على شبكات الضحايا المختارة في مايو وإزالة Sunburst من SolarWinds بناء البيئة في 4 يونيو.
لكن الإجابات عن كيفية ووقت حدوث الانتقال من Sunburst إلى Raindrop قد أسفرت عن القليل من القرائن المحددة، حتى لو بدا أن المهاجمين فصلوا عن عمد تنفيذ محمل Cobalt Strike عن عملية SolarWinds كإجراء من OpSec.
لكن الإجابات عن كيفية ووقت حدوث الانتقال من Sunburst إلى Raindrop قد أسفرت عن القليل من القرائن المحددة، حتى لو بدا أن المهاجمين فصلوا عن عمد تنفيذ محمل Cobalt Strike عن عملية SolarWinds كإجراء من OpSec.
الفكرة هي أنه في حالة اكتشاف غرسات Cobalt Strike على الشبكات المستهدفة، فإنها لن تكشف عن ملف SolarWinds المخترق وهجوم سلسلة التوريد الذي أدى إلى نشرها في المقام الأول.
توضح النتائج أيضًا أنه في حين اعتمد المتسللون على مجموعة من نواقل الهجوم، شكّل برنامج SolarWinds المكوّن من حصان طروادة جوهر عملية التجسس:
- تجنب منهجي للمؤشرات المشتركة لكل مضيف مخترق عن طريق نشر غرسات Cobalt Strike DLL المخصصة على كل نظام
- تمويه الأدوات والثنائيات الضارة لتقليد الملفات والبرامج الموجودة بالفعل على الجهاز المخترق
- تعطيل تسجيل الأحداث باستخدام AUDITPOL قبل نشاط لوحة المفاتيح العملية وتمكينها مرة أخرى بمجرد اكتمالها
- إنشاء قواعد جدار حماية خاصة لتقليل الحزم الصادرة لبروتوكولات معينة قبل تشغيل أنشطة تعداد الشبكة المزعجة التي تمت إزالتها لاحقًا بعد مسح الشبكة
- تنفيذ أنشطة الحركة الجانبية فقط بعد تعطيل الخدمات الأمنية على المضيفين المستهدفين
- يُزعم استخدام التعديل الزمني لتغيير الطوابع الزمنية للقطع الأثرية والاستفادة من إجراءات وأدوات المسح لمنع اكتشاف عمليات زرع DLL الضارة
تبني عقلية انعدام الثقة Adopting a Zero Trust Mentality
وقالت Microsoft: "كان هذا الهجوم معقدًا وعاديًا في نفس الوقت". "أظهر الممثل تعقيدًا في اتساع نطاق التكتيكات المستخدمة لاختراق البنية التحتية المتأثرة والتوسع فيها والاستمرار فيها، لكن العديد من التكتيكات والتقنيات والإجراءات (TTPs) كانت عادية بشكل فردي".
للحماية من مثل هذه الهجمات في المستقبل، توصي الشركة المنظمات بتبني "عقلية عدم الثقة zero trust mentality" لتحقيق الوصول الأقل امتيازًا وتقليل المخاطر من خلال تمكين المصادقة متعددة العوامل.
قال Alex Weinert، مدير أمن الهوية في Microsoft، "مع Solorigate، استفاد المهاجمون من تعيينات الأدوار الواسعة، والأذونات التي تجاوزت متطلبات الدور، وفي بعض الحالات تخلى عن الحسابات والتطبيقات التي كان ينبغي ألا يكون لها أذونات على الإطلاق".
توضح النتائج أيضًا أنه في حين اعتمد المتسللون على مجموعة من نواقل الهجوم، شكّل برنامج SolarWinds المكوّن من حصان طروادة جوهر عملية التجسس:
- تجنب منهجي للمؤشرات المشتركة لكل مضيف مخترق عن طريق نشر غرسات Cobalt Strike DLL المخصصة على كل نظام
- تمويه الأدوات والثنائيات الضارة لتقليد الملفات والبرامج الموجودة بالفعل على الجهاز المخترق
- تعطيل تسجيل الأحداث باستخدام AUDITPOL قبل نشاط لوحة المفاتيح العملية وتمكينها مرة أخرى بمجرد اكتمالها
- إنشاء قواعد جدار حماية خاصة لتقليل الحزم الصادرة لبروتوكولات معينة قبل تشغيل أنشطة تعداد الشبكة المزعجة التي تمت إزالتها لاحقًا بعد مسح الشبكة
- تنفيذ أنشطة الحركة الجانبية فقط بعد تعطيل الخدمات الأمنية على المضيفين المستهدفين
- يُزعم استخدام التعديل الزمني لتغيير الطوابع الزمنية للقطع الأثرية والاستفادة من إجراءات وأدوات المسح لمنع اكتشاف عمليات زرع DLL الضارة
تبني عقلية انعدام الثقة Adopting a Zero Trust Mentality
وقالت Microsoft: "كان هذا الهجوم معقدًا وعاديًا في نفس الوقت". "أظهر الممثل تعقيدًا في اتساع نطاق التكتيكات المستخدمة لاختراق البنية التحتية المتأثرة والتوسع فيها والاستمرار فيها، لكن العديد من التكتيكات والتقنيات والإجراءات (TTPs) كانت عادية بشكل فردي".
للحماية من مثل هذه الهجمات في المستقبل، توصي الشركة المنظمات بتبني "عقلية عدم الثقة zero trust mentality" لتحقيق الوصول الأقل امتيازًا وتقليل المخاطر من خلال تمكين المصادقة متعددة العوامل.
قال Alex Weinert، مدير أمن الهوية في Microsoft، "مع Solorigate، استفاد المهاجمون من تعيينات الأدوار الواسعة، والأذونات التي تجاوزت متطلبات الدور، وفي بعض الحالات تخلى عن الحسابات والتطبيقات التي كان ينبغي ألا يكون لها أذونات على الإطلاق".
