Alert GCSA-20120 - Possibili vulnerabilita' collegate al caso Solarwinds Orion
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 ************************************************************************** Alert ID: GCSA-20120 Data: 18 dicembre 2020 Titolo: Possibili vulnerabilita' collegate al caso Solarwinds Orion ************************************************************************** Alert per possibili vulnerabilita' collegate ad una compromissione da parte di un gruppo APT (Advanced Persistent Threat) - Caso Solarwinds Orion Un gruppo APT (Advanced Persistent Threat) ha portato a termine varie compromissioni verso agenzie governative statunitensi, infrastrutture critiche ed aziende private, a partire almeno da marzo 2020. Si prevede che la rimozione di questo aggressore dagli ambienti compromessi sara' estremamente complessa e impegnativa per le organizzazioni colpite. Uno dei vettori di accesso per realizzare l'intrusione e' stata la compromissione della supply chain del prodotto SolarWinds Orion, tramite l'inserimento di codice malevolo. Oltre a questo, vi sono prove di altri vettori di accesso utilizzati; tuttavia questi sono ancora oggetto di indagine. L'aggressore ha operato in modo meticoloso e paziente, scegliendo i target in modo mirato. SolarWinds Orion e' una suite software di gestione della rete aziendale che include il monitoraggio delle prestazioni e delle applicazioni e la gestione della configurazione di rete insieme a diversi tipi di strumenti di analisi. Il malware e' altamente sofisticato; tra le tecniche attuate, maschera e commuta velocemente le comunicazioni per sfuggire al rilevamento. Sono particolarmente evolute anche le azioni condotte dagli aggressori per insidiarsi in modo persistente nelle organizzazioni. A questo link (Appendix B) e' disponibile un elenco di IoC (Indicators of Compromise): https://us-cert.cisa.gov/ncas/alerts/aa20-352a che possono essere forniti al proprio firewall/IPS per intercettare attivita' e connessioni sospette. ::Riferimenti https://us-cert.cisa.gov/ncas/current-activity/2020/12/13/active-exploitation-solarwinds-software https://us-cert.cisa.gov/ncas/alerts/aa20-352a https://cyber.dhs.gov/ed/21-01/ https://www.geekwire.com/2020/microsoft-says-internal-probe-finds-malicious-solarwinds-code-no-sign-impact-yet/ https://krebsonsecurity.com/2020/12/u-s-treasury-commerce-depts-hacked-through-solarwinds-compromise/ https://krebsonsecurity.com/2020/12/solarwinds-hack-could-affect-18k-customers/ https://krebsonsecurity.com/2020/12/malicious-domain-in-solarwinds-hack-turned-into-killswitch/ https://thehackernews.com/2020/12/us-agencies-and-fireeye-were-hacked.html https://thehackernews.com/2020/12/nearly-18000-solarwinds-customers.html https://thehackernews.com/2020/12/solarwinds-issues-second-hotfix-for_15.html https://thehackernews.com/2020/12/new-evidence-suggests-solarwinds.html https://thehackernews.com/2020/12/microsoft-says-its-systems-were-also.html https://www.securityweek.com/us-investigating-computer-hacks-government-agencies https://www.securityweek.com/us-government-confirms-cyberattack https://www.securityweek.com/industry-reactions-fireeye-breach-feedback-friday https://www.securityweek.com/solarwinds-says-18000-customers-may-have-used-compromised-product https://www.securityweek.com/group-behind-solarwinds-hack-bypassed-mfa-access-emails-us-think-tank https://www.securityweek.com/solarwinds-removes-customer-list-site-it-releases-second-hotfix https://www.securityweek.com/killswitch-found-malware-used-solarwinds-hack https://www.securityweek.com/little-known-solarwinds-gets-scrutiny-over-hack-stock-sales https://www.securityweek.com/fbi-cisa-odni-describe-response-solarwinds-attack https://www.securityweek.com/supply-chain-attack-cisa-warns-new-initial-attack-vectors-posing-grave-risk https://www.securityweek.com/continuous-updates-everything-you-need-know-about-solarwinds-attack https://www.securityweek.com/microsoft-energy-department-and-others-named-victims-solarwinds-attack https://blog.qualys.com/vulnerabilities-research/2020/12/09/theft-of-cybersecurity-tools-fireeye-breach -----BEGIN PGP SIGNATURE----- iF0EARECAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCX90GGwAKCRDBnEyTZRJg Qr3BAJ4pwyQhO3qCFYvQz2bsmXX9MLDdTgCeOEHuZ5yhPQCaJM6k4ws1QY3+Cyg= =aciT -----END PGP SIGNATURE-----