Vier Sicherheitsanbieter bestätigen SolarWinds-Vorfälle

[English]Die Solarigate-Geschichte geht weiter. Jetzt haben vier Anbieter von Sicherheitsprodukten "Vorfälle" im Zusammenhang mit den Lieferketten-Angriffen (supply chain attack) über SolarWinds Orion-Produkte bekannt gegeben.

Vor einigen Tagen hatte ich im Blog-Beitrag Auch Malwarebytes von den SolarWinds-Angreifern erfolgreich gehackt erwähnt, dass der Sicherheitsanbieter Malwarebytes Opfer der Solarigate-Angriffe wurde. Der erste erfolgreich gehackte Sicherheitsanbieter war allerdings FireEye, siehe FireEye: Wenn Hacker eine Sicherheitsfirma plündern. Die Liste der Unternehmen, die Opfer der Lieferketten-Angriffe (supply chain attack) über die Backdoor in SolarWinds Orion-Produkte geworden sind, muss leider um vier Namen von Sicherheitsanbietern erweitert werden. Ich bin die Nacht auf Twitter über die nachfolgende Information von Catalin Cimpanu gestolpert, der das Ganze in einem Artikel auf ZDNet.com zusammen getragen hat.

Die Cybersicherheitsanbieter Mimecast, Palo Alto Networks, Qualys und Fidelis haben bekannt gegeben, dass sie Opfer der Solarigate-Angriffe der SolarWinds-Hackergruppe sind.

Mimecast gehackt

Die Mimecast Limited ist ein auf der Kanal-Insel Jersey (Steuerparadies) ansässiges Unternehmen mit Hauptsitz in Großbritannien, das sich auf cloudbasiertes E-Mail-Management für Microsoft Exchange und Microsoft Office 365 spezialisiert hat. Das umfasst auch Sicherheits-, Archivierungs- und Kontinuitätsdiensten zum Schutz von Business-Mails. Am 12. Januar 2021 gestand Mimecast in einer Warnung an seine Kunden, dass Hacker eines seiner digitalen Zertifikate abgegriffen und missbraucht habe, um Zugang zu einigen Microsoft 365-Konten seiner Kunden zu erhalten.

Zu den Produkten, die dieses Zertifikat verwendeten, gehören Mimecast Sync and Recover, Continuity Monitor und IEP-Produkte, wie das Unternehmen in einer veröffentlichten Nachricht mitteilte (ich hatte das mitbekommen, aber aus Zeitmangel nicht im Blog aufgegriffen). Mimecast gab an, dass etwa 10 % aller Kunden die betroffenen Produkte mit diesem speziellen Zertifikat verwendet haben. Der Bedrohungsakteur habe das gestohlene Zertifikat missbraucht, um Zugriff auf nur eine Handvoll der Microsoft 365-Konten dieser Kunden zu erhalten. Jetzt bestätigte Mimecast in diesem aktualisierten Beitrag den Angriff im Rahmen der SolarWinds-Angriffe.

Palo Alto Networks Sicherheitsvorfall

Palo Alto Networks, Inc. ist ein amerikanisches multinationales IT-Sicherheitsunternehmen mit Hauptsitz in Santa Clara, Kalifornien. Seine Kernprodukte sind eine Plattform, die fortschrittliche Firewalls und Cloud-basierte Angebote umfasst, die diese Firewalls um weitere Sicherheitsaspekte erweitern. Palo Alto Networks informierte wohl den investigativen Forbes-Reporter Thomas Brewster, dass man im September und Oktober 2020 zwei Sicherheitsvorfälle entdeckt habe.

Damals kam man nicht auf den Gedanken, dass es eine Supply-Chain-Attacke, der auch FireEye zum Opfer fiel, sein könnte. Erst nachdem die Informationen über die SolarWinds-Angriffe öffentlich wurden, konnte die Verbindung zwischen den beiden Vorfällen mit dem Angriff über die SolarWinds-Software hergestellt werden. Palo Alto Networks gibt an, dass die Untersuchung der Vorfälle nicht viel ergeben habe. Man ist zum Schluss gekommen, dass der versuchte Angriff nicht erfolgreich war und keine Daten kompromittiert wurden."

Auch QUALYS möglicherweise betroffen

Qualys, Inc. bietet Cloud-Sicherheit, Compliance und damit verbundene Dienste an und hat seinen Sitz in Foster City, Kalifornien. Laut dem oben zitierten Forbes-Artikel hat Erik Hjelmvik, der Gründer des Netzwerksicherheitsunternehmens Netresec, eine Liste von 23 neue Domains aufgeführt, die von den SolarWinds-Hackern verwendet wurden, um Nutzdaten der zweiten Stufe in infizierte Netzwerke einzuschleusen, die sie als besonders wertvoll einstuften.

Zwei dieser 23 neuen Domains waren "corp.qualys.com", was darauf hindeutet, dass der Cybersecurity-Auditing-Riese Qualys das Ziel der Angreifer gewesen sein könnte. Gegenüber Forbes erklärte Qualys jedoch, dass seine Techniker eine trojanisierte Version der SolarWinds Orion-App in einer Laborumgebung zu Testzwecken installiert hatten, die vom primären Netzwerk getrennt war. Bei einer anschließenden Untersuchung seien keine Beweise für weitere bösartige Aktivitäten oder Datenexfiltration gefunden worden.

Einige Sicherheitsforscher schenken der Aussage des Unternehmens jedoch keinen Glauben. Sie vermuten, dass die Domain "corp.qualys.com" darauf hindeutet, dass die Hacker Zugang zum primären Netzwerk des Unternehmens erhalten haben und nicht zu einer Laborumgebung, wie das Unternehmen behauptet. Der Fall bleibt mysteriös.

Fidelis bestätigt Angriff

Fidelis ist ebenfalls ein Cybersecurity-Unternehmen, welches die Sicherheit in Unternehmen verbessern möchte. In einem Blog-Beitrag gibt ein Fidelis-Manager bekannt, dass man im Mai 2020 eine trojanisierte Version der SolarWinds Orion-App als Teil einer "Software-Evaluierung" installiert habe. "Die Software-Installation wurde auf einer Maschine durchgeführt, die als Testsystem konfiguriert, von unserem Kernnetzwerk isoliert und nur selten eingeschaltet war", sagte Chris Kubic, der Fidelis-Manager. Fidelis gibt an, dass trotz der Bemühungen des Angreifers, einen Zugang innerhalb des internen Netzwerks von Fidelis zu eskalieren, das Unternehmen glaubt, dass das Testsystem "ausreichend isoliert und zu selten eingeschaltet war, als dass der Angreifer es zur nächsten Stufe des Angriffs hätte bringen können."

Zum Hintergrund

Seit Dezember 2020 erschüttert eine groß angelegte Hacker-Kampagne die IT-Welt, speziell der USA aber auch anderer Länder. Mutmaßlich staatlichen Hackern war es gelungen, eine Backdoor in die SolarWinds Orion-Software einzuschleusen. Diese SolarBurst-Backdoor wurden dann mit einem regulären SolarWinds Orion-Software-Update an 18.000 Kunden ausgeliefert. Die Orion-Software wird von vielen Behörden und Unternehmen eingesetzt.

Inzwischen ist bekannt, dass die Akteure über diese Backdoor, aber auch über weitere Malware über 100 US-Behörden und Firmen gehackt haben, um dort Informationen abzugreifen. Die Hacker konnten sich über Monate unentdeckt in den Netzwerken der Opfer bewegen. Der Fall wurde bekannt, weil die Hacker die sogenannten Red-Team-Tools des Sicherheitsanbieters FireEye bei einem Hack entwendeten und dieser Angriff einem Angestellten des Unternehmens auffiel. Nachfolgende Artikel enthalten weitere Informationen.

Ähnliche Artikel:
FireEye: Wenn Hacker eine Sicherheitsfirma plündern
US-Finanzministerium und weitere US-Behörde gehackt
SolarWinds SUNBURST-Schwachstelle: Die Folgen und Schutzmaßnahmen
SolarWinds-Produkte mit SunBurst-Backdoor, Ursache für FireEye- und US-Behörden-Hacks
SUNBURST-Malware: Analyse-Tool SolarFlare, ein ‚Kill-Switch' und der Einstein-Überwachungsflopp
Schlamperei bei SolarWinds für kompromittierte Software verantwortlich?
Neues im Kampf gegen die SUNBURST-Infektion, Domain beschlagnahmt
SUNBURST-Malware wurde in SolarWinds Quellcode-Basis eingeschleust
SUNBURST: Auch US-Atomwaffenbehörde gehackt, neue Erkenntnisse
SolarWinds-Hack: Auch Microsoft & Co. betroffen?
SUNBURST-Hack: Microsofts Analysen und Neues
SolarWinds-Systeme mit 2. Backdoor gefunden
SolarWinds-Hacker hatten Zugriff auf Microsoft-Quellcode
SolarWinds-Hack: Motive der Angreifer; Outsourcing als Schwachstelle?
Gibt es deutsche Opfer des SolarWinds-Hacks?
Neues vom SolarWinds-Hack; JetBrains-Software als Einfallstor?
Kaspersky: SolarWinds Sunburst-Backdoor gleicht russischer ATP-Malware
SolarLeaks bietet angeblich Sourcecode von Cisco, Microsoft und SolarWinds an
Auch Malwarebytes von den SolarWinds-Angreifern erfolgreich gehackt