Solar Winds Hack

Einleitung

Der SolarWinds-Hack, auch bekannt unter dem Codenamen "Sunburst", ist einer der bedeutendsten und komplexesten Cyberangriffe in der Geschichte der Informationstechnologie. Er wurde Ende 2020 entdeckt und betraf die Orion-Softwareplattform von SolarWinds, ein weitverbreitetes Netzwerkmanagement-Tool. Dieser Angriff illustriert die Bedrohung durch staatlich unterstützte Hacker und die Anfälligkeit von Supply Chains in der Softwareentwicklung.

Angriffsvektor

Die Hauptstrategie der Angreifer bestand darin, eine Supply-Chain-Attacke durchzuführen. Sie injizierten schädlichen Code in die Software-Entwicklungs- und Distributionsprozesse von SolarWinds. Dieser Code wurde Teil eines offiziellen Software-Updates für das Orion-Produkt, das zwischen März und Juni 2020 veröffentlicht wurde.

Technische Details des Angriffs

Einschleusung des Schadcodes

Die Angreifer nutzten einen kompromittierten Zugang zum Software-Build-Prozess von SolarWinds. Sie fügten den Schadcode in die Bibliotheken der Orion-Plattform ein, was als Trojanisierung des Build-Prozesses bekannt ist. Der Code wurde so konzipiert, dass er nach einer Ruhephase von zwei Wochen aktiv wurde, um eine frühzeitige Entdeckung zu vermeiden.

Verbreitung und Maskierung

Nach der Aktivierung des Schadcodes etablierte dieser eine Verbindung zu einem Command-and-Control-Server (C2), von dem aus die Angreifer Anweisungen senden konnten. Um nicht entdeckt zu werden, tarnten die Angreifer den Netzwerkverkehr als Orion-Verbesserungsprogrammdaten und nutzten weitere Techniken zur Verschleierung ihrer Aktivitäten.

Datendiebstahl und Spionage

Einmal im Netzwerk, bewegten sich die Angreifer lateral, um weitere sensible Systeme zu infiltrieren. Sie sammelten Informationen, darunter E-Mails und Dokumente, und gewannen tiefe Einblicke in die internen Prozesse und Sicherheitsmaßnahmen der betroffenen Organisationen.

Aufdeckung und Reaktion

FireEye, ein Sicherheitsunternehmen, das selbst betroffen war, entdeckte den Angriff und machte ihn öffentlich. Dies führte zu einer intensiven Überprüfung und Analyse der Sicherheitsmaßnahmen in zahlreichen Organisationen weltweit. Als Reaktion auf den Angriff wurden umfangreiche Maßnahmen zur Stärkung der Cybersicherheit und zur Überwachung der Software-Entwicklungsketten eingeleitet.