חזרנו אלייך שנית: האקרים פגעו, שוב, בסולארווינדס

האקרים פגעו, שוב, בסולארווינדס – כך הודיעה החברה שעמדה במוקד פריצת ענק שבוצעה לפני כמה חודשים. על פי המותקפת, ההאקרים ניצלו ומינפו פגיעות תוכנה שהייתה קיימת במוצר החברה כדי לבצע "מתקפות מוגבלות וממוקדות".

ההאקרים, שזהותם לא נחשפה, השתמשו בחולשות יום אפס שנמצאו בשני כלים שסולארווינדס מציעה לטיפול ולניהול נתונים ותוכנות – Serv-U Managed File Transfer ו-Serv-U Secure FTP, על מנת לפגוע במספר לא ידוע של לקוחות החברה. הגישה שהם השיגו למערכות הלקוחות הקורבנות סיפקה להם כמה יכולות: התקנת תוכנות, לרבות נוזקות, צפייה בנתונים חסויים האצורים על גבי המערכות, מחיקת נתונים ושיבוש שלהם, והרצת תוכנות על גבי התוכנות המזוהמות של סולארווינדס – כך הודיעה המותקפת.

"איננו יכולים לזהות את הקורבנות"

מיקרוסופט היא שעדכנה את סולארווינדס אודות החולשות החדשות. על פי סולארווינדס, "מיקרוסופט סיפקה עדויות על השפעה מוגבלת וממוקדת על לקוחות, אם כי אין לנו הערכה כמה לקוחות עלולים להיות מושפעים ישירות מהפגיעויות. איננו מודעים ויכולים לזהות את הלקוחות הללו, העלולים להיות מושפעים מהמתקפה".

סולארווינדס פרסמה עדכון "חם" לתיקון הפגיעות, שתויג כ-CVE-2021-35211. החברה, שעמדה במרכז אחת ממתקפות הסייבר הגדולות אי פעם בסוף השנה שעברה, דחקה בלקוחות Serv-U לתקן את מערכותיהם באופן מיידי.

הפריצה הקודמת עדיין מעסיקה את וושינגטון

Serv-U היא חבילת כלים המאפשרת ללקוחות להעביר קבצים באופן מאובטח מרחוק – באינטרנט. סולארווינדס ציינה בהודעתה כי כלים נוספים שלה לא נפגעו מהמתקפה. לדבריה, אין קשר בין פריצת הענק מהעבר לבין ניצול החולשות הנוכחי.

פריצת הענק לסולארווינדס נותרה נושא חשוב בוושינגטון. הבית הלבן ביקש באחרונה בבקשת התקציב שהוגשה לקונגרס תוספת של 750 מיליון דולר לטיפול בהתאוששות מהתקרית. יצוין שמיקרוסופט קבעה באחרונה שחברי קבוצת ההאקרים הרוסית APT29, שתקפו את סולארווינדס, ביצעו מאז מאמץ פישינג ממוקד, שבו התחזו חבריה לחברים בסוכנות האמריקנית לפיתוח בינלאומי.

APT29 היא קבוצת האקרים שנתמכת על ידי ממשלת רוסיה וידועה גם בשם Cozy Bear (דובי חמים ונעים). הקבוצה מקושרת ל-SVR, שירות ביון החוץ של רוסיה – אף שמוסקבה, כצפוי, הכחישה זאת. הפריצה לסולארווינדס פגעה במאות ארגונים בעולם, בראשם מיקרוסופט ופייראיי – שחשפה אותה, ובעשרות גופים פדרליים בארצות הברית.