Am 13. Dezember 2020 haben mehrere Anbieter wie FireEye und Microsoft berichteten über neu auftretende Bedrohungen durch einen nationalstaatlichen Bedrohungsakteur, der SolarWinds kompromittiert und SolarWinds Orion-Business-Software-Updates trojanisiert hat, um Backdoor-Malware namens SUNBURST zu verbreiten. Aufgrund der Popularität von SolarWinds waren mehrere Regierungsbehörden und viele Fortune 500-Unternehmen von den Angriffen betroffen. Es erschien auch in der jüngsten Zeit CISA-Notfallrichtlinie 20-01.
Wir haben dekodierte DGA-Domains von SUNBURST analysiert und 165 eindeutige Domains gefunden, die von der Backdoor-Malware betroffen waren. Einige von ihnen könnten Opfer sein, und einige von ihnen könnten sich auf Sicherheitserkennung oder -analyse wie Sandboxing beziehen. Wir haben festgestellt, dass die betroffenen Domänen sich über verschiedene Arten von Organisationen erstrecken (einschließlich Informationstechnologie, öffentliche Verwaltung, Bildung sowie Finanzen und Versicherungen usw.) und zu 25 verschiedenen Ländern gehören (die sich auf alle Kontinente mit Ausnahme der Antarktis erstrecken).
1.0 Einführung in SolarWinds Orion Supply Chain Compromise
Wie im FireEye-Bericht erwähnt, könnte SolarWinds von einem staatlichen Akteur angegriffen worden sein. Um welchen Akteur es sich handelt, ist jedoch noch unklar. Einige Nachrichtenartikel vermuten einen Zusammenhang mit APT29 oder Cozy Bear, einer russischen Hackergruppe, ohne dass konkrete Beweise vorgelegt werden.
Laut SaveBreach entdeckte der Sicherheitsforscher Vinoth Kumar, dass ein Passwort für den SolarWinds-Update-Server seit 2018 auf GitHub veröffentlicht wurde. Es ist unklar, ob die Angreifer das schwache Passwort für ihre Angriffe genutzt haben, aber es verdeutlicht die Schwächen der Sicherheitslage von SolarWinds.
In einem von SolarWinds bei der SEC eingereichten Bericht heißt es, dass die E-Mails von SolarWinds über Office 365 möglicherweise kompromittiert wurden und „möglicherweise Zugang zu anderen Daten ermöglicht haben, die in den Büroproduktivitätstools des Unternehmens enthalten sind“.
SolarWinds gab an, dass möglicherweise bis zu 18,000 seiner prominenten Kunden eine manipulierte Version seiner Orion-Produkte installiert haben.
2.0 SUNBURST DGA-Algorithmus und Kommunikation
Auf Netzwerkebene sind die offensichtlichsten Indikatoren für eine Kompromittierung (IOC) im Zusammenhang mit SUNBURST die im C2-Kanal (Command and Control) verwendeten Domains. Diese weisen ein eindeutiges Muster auf und imitieren Cloud-Hostnamen, z. B. 7sbvaemscs0mc925tb99.appsync-api.us-west-2.avsvmcloud.com, eine DGA-Domain (Domain Generation Algorithm).
Die Berichte von FireEye und Microsoft gehören zu den ersten, die technische Details zur SUNBURST-Backdoor-Malware liefern. Daraus geht hervor, dass die Angreifer das schädliche Update SolarWinds-Core-v2019.4.5220-Hotfix5.msp eingeschleust haben . Die schädliche Komponente innerhalb dieses Updates ist die Datei SolarWinds.Orion.Core.BusinessLayer.dll.
Durch die Analyse dieser .NET-DLL-Binärdatei konnten verschiedene Forschungsgruppen ( RedDrip und Prevasio ) Details zur Kodierung von DGA-Domänen aufdecken. Die allgemeine Erkenntnis zeigt, dass die Domänen folgender Struktur folgen:
$ {GUID: 16byte} $ {Encoded_AD_domain} .appsync-api. $ {Region} .avsvmcloud.com
Die Region ${region} hat einen der vier Werte:
- eu-west-1
- US-West-2
- us-east-1
- us-east-2
Der Teil ${GUID} stammt aus einem Hash von Host-Informationen und ist daher nicht ohne Weiteres umkehrbar.
Das $ {Encoded_AD_domain} Interessant ist vor allem, dass der entsprechende Klartextwert über den .NET-API-Aufruf anzeigt, zu welcher Domäne der Computer gehört:
IPGlobalProperties.GetIPGlobalProperties (). DomainName
Im Wesentlichen gibt die API den Namen der Windows-Domäne zurück. Dadurch können wir herausfinden, zu welchem Unternehmen die Maschine gehört.
2.1 Codierte AD-Domänen dekodieren
Wir nutzen die Forschungsergebnisse von RedDrip und Prevasio zu den Dekodierungsalgorithmen, um ${Encoded_AD_domain} wiederherzustellen. Im Wesentlichen verwendet der Angreifer zwei verschiedene Dekodierungsfunktionen: eine angepasste BASE32_decode-Funktion und eine weitere, angepasste Buchstabenersetzungs-Verschlüsselung, wenn der Domainname nur Kleinbuchstaben plus [0_-.] enthält.
3.0 Analyse infizierter Domänen
Laut CRN News gab SolarWinds an, dass zu seinen Kunden 425 der US Fortune 500-Unternehmen, die zehn größten US-Telekommunikationsunternehmen, die fünf größten US-Wirtschaftsprüfungsgesellschaften, alle Zweige des US-Militärs, das Pentagon, das Außenministerium sowie Hunderte von Universitäten und Hochschulen weltweit gehören.
Zur Analyse der infizierten Domains im Rahmen des SUNBURST-Backdoor-Angriffs haben wir die beobachteten Hostnamen der DGA-Domains aus verschiedenen Quellen zusammengetragen. Eine wichtige Quelle ist GitHub von Bambenek Consulting , die andere Pastebin von Zetalytics/Zonecruncher.
Durch Einspeisen der codierten DGA-Domänen in das Decodierungsskript erhielten wir eine Liste der decodierten Domainnamen, die von den Opfern des SUNBURST-Backdoor-Angriffs generiert worden sein könnten. Anschließend haben wir versucht, die dekodierten Domain-Namen manuell über die Google-Suche den Firmen- / Organisationsnamen zuzuordnen. Wir konnten 165 dekodierte Domainnamen dem Firmen- / Organisationsnamen zuordnen.
HINWEIS : Es wurde nicht überprüft, ob alle dekodierten Domains gültige Windows-Domains sind und tatsächlich den Betroffenen gehören. Die Zuordnung basiert größtenteils auf menschlicher Einschätzung. Unsere manuelle Zuordnung der dekodierten Domainnamen zu den jeweiligen Firmen-/Organisationsnamen kann ungenau sein.
3.1 Verteilung der Opfer nach Branchenkategorien
Wir stellten fest, dass die betroffenen Unternehmen/Organisationen aus verschiedenen Branchen stammen. Wir klassifizierten sie anhand des NAICS (North American Industry Classification System) des US Census Bureau in verschiedene Kategorien. Ihre Verteilung nach Kategorien ist in Abbildung 1 dargestellt. Aus unseren Stichproben geht hervor, dass IT-Unternehmen, die öffentliche Verwaltung (z. B. Regierungsbehörden) und Bildungseinrichtungen (z. B. Universitäten) am stärksten vom SUNBURST-Backdoor-Angriff betroffen waren.
Abbildung 1: Verteilung der Opfer nach Branchenkategorien
3.2 Verteilung der Opfer nach Ländern
Wir haben festgestellt, dass die Opferunternehmen / -organisationen 25 verschiedenen Ländern angehören. Ihre Verteilung nach Kontinenten ist in Abbildung 2 dargestellt. Die Auswirkungen des Angriffs sind weltweit.
Abbildung 2: Verteilung der Opfer nach Kontinent.
Die Top-Länder mit den meisten Opfern sind:
| Ländername | Opferzahl |
| USA | 110 |
| Kanada | 13 |
| Israel | 5 |
| Dänemark | 5 |
| Australien | 4 |
| Großbritannien | 4 |
4.0 Verteidigung gegen SUNBURST mit Stellar Cyber's Open XDR Lernumgebung
Während SUNBURST eine heimliche und hoch entwickelte Bedrohung ist, hinterlässt es wichtige Spuren, um sich zu identifizieren.
Erstens ist es für Unternehmen wichtig, Artefakte und Spuren in Bezug auf ihre Netzwerke in einer Sicherheit zu speichern Daten See wie die Open XDR Plattform von Stellar Cyber. Sobald ein Angriff bekannt wird, können Unternehmen weltweit die Indikatoren anhand historischer Daten schnell überprüfen, um festzustellen, ob sie kompromittiert wurden. Bei komplexen Bedrohungen wie SUNBURST sind die C2-Domänen (Command & Control) und IP-Adressen in der Regel aussagekräftige Hinweise. Insbesondere bei SUNBURST weist die C2-Domäne ein bestimmtes Muster auf. avsvmcloud.com. Die Unternehmen müssen eine gute NTA-Lösung (NDR) bereitstellen, mit der wichtige Metadaten aus dem Datenverkehr von DNS und anderen wichtigen L7-Anwendungsprotokollen protokolliert werden können. Die Datenaufnahme über DNS-Protokolle ist ebenfalls hilfreich, erfasst jedoch möglicherweise nicht die Signale, wenn der Angreifer öffentliches DNS wie Google DNS (8.8.8.8) usw. verwendet Unternehmen können unbekannte verdächtige Signale früher finden.
Zweitens sind die Telemetriedaten der EDR-Endpunkte zusammen mit den Signalen auf Netzwerkebene ebenfalls sehr wichtig und nützlich. Open XDR Mithilfe der Plattform von Stellar Cyber können Unternehmen verdächtige laterale Bewegungen innerhalb des Unternehmens identifizieren und Malware wie SUNBURST sowohl durch Bedrohungsanalysen als auch durch die Erkennung unbekannter verdächtiger Aktivitäten aufspüren. Die Stellar Cyber-Plattform kann Signale aus verschiedenen Datenquellen speichern und korrelieren und verfügt über KI-basierte Erkennungsmechanismen zur Erkennung unbekannter verdächtiger Aktivitäten.
5.0 Schlussfolgerungen
In diesem Blog haben wir einige Hinweise dazu gegeben, wie SolarWinds gehackt wurde, und DGA-Domänendaten analysiert, die Datenstudie zu betroffenen Domains gezeigt und einige Vorschläge zur Verteidigung gemacht.
