JetBrains แถลงปฏิเสธการมีส่วนเกี่ยวกับเหตุการณ์ Supply-chain attack ของ SolarWinds

บริษัทด้านการพัฒนาซอฟต์แวร์ชื่อดัง JetBrains ได้มีการแถลงออกมาวันนี้เพื่อปฏิเสธรายงานและข้อมูลจาก New York Times และ Wall Street Journal ซึ่งอ้างว่า JetBrains กำลังถูกสอบสวนภายใต้ข้อกล่าวหาว่า JetBrains อาจมีส่วนเกี่ยวข้องกับกรณีการโจมตีระบบของ SolarWinds

รายงานของสองสำนักข่าวอ้างว่าข้อมูลดังกล่าวมีที่มาจากบุคคลภายในของรัฐบาลสหรัฐฯ ซึ่งระบุว่าทางการสหรัฐฯ กำลังตรวจสอบความเป็นไปได้ว่าแฮกเกอร์ซึ่งโจมตีระบบ SolarWinds อาจทำการโจมตีระบบของ JetBrains ในลักษณะเดียวกัน โดยผลิตภัณฑ์ของ JetBrains ซึ่งอ้างว่าได้รับผลกระทบนั้นคือ TeamCity ซึ่งเป็นผลิตภัณฑ์กลุ่มแพลตฟอร์มสำหรับ CI/CD

อ้างอิงจากแถลงการณ์ของ JetBrains "Maxi Shafirov" CEO ของ JetBrains ระบุว่าทางบริษัทไม่ทราบเรื่องของการตรวจสอบดังกล่าวมาก่อน และยังไม่ได้รับการติดต่อใดๆ และมีการระบุอย่างชัดเจนว่า JetBrians ไม่ได้มีส่วนเกี่ยวข้องในลักษณะใดๆ กับการโจมตีในครั้งนี้

ที่มา: blog.

กลุ่มผู้ลงทุนใน SolarWinds ยื่นฟ้องดำเนินคดีกับ SolarWinds เชื่อทางบริษัทรับรู้ความเสี่ยงแต่ไม่ดำเนินการอย่างเหมาะสม

กลุ่มผู้ลงทุนในหุ้นของ SolarWinds ในช่วงวันที่ 24 กุมภาพันธ์ ถึง 15 ธันวาคม 2020 นำโดย Timothy Bremer ได้มีการยื่นฟ้องเพื่อดำเนินคดีแบบกลุ่มกับ SolarWinds จากกรณีการโจมตีระบบซึ่งส่งผลให้หุ้นของ SolarWinds นั้นร่วงจาก 24 ดอลลาร์สหรัฐฯ ลงไปอยู่ที่ 18 ดอลลาร์สหรัฐฯ หลังจากที่รายละเอียดการโจมตีปรากฎขึ้นมา

คำฟ้องมีการอ้างเหตุการณ์ตามที่ไอ-ซีเคียวเคยรายงานออกไปตั้งแต่การโจมตีในลักษณะของ Supply-chain attack, กรณีการตั้งพาสเวิร์ดที่คาดเดาง่ายของเซิร์ฟเวอร์อัปเดตของ SolarWinds และผลกระทบที่เกิดขึ้น คำฟ้องยังมีการอ้างถึงรายงานซึ่งระบุว่าความเสี่ยงด้านความปลอดภัยและช่องโหว่นั้นได้เคยถูกรายงานไปให้แก่ SolarWinds แล้ว แต่ SolarWinds เพิกเฉยที่จะดำเนินการอย่างเหมาะสม

ผู้ลงทุนใน SolarWinds สามารถเข้าร่วมการดำเนินคดีแบบกลุ่มได้จนวันที่ 5 มีนาคม 2021 นี้

ที่มา: securityweek

กระทรวงยุติธรรมสหรัฐฯ เผย แฮกเกอร์ซึ่งโจมตี SolarWinds เข้าถึงเซิร์ฟเวอร์อีเมล O365 เพื่อลักลอบอ่านอีเมล

กระทรวงยุติธรรมสหรัฐฯ ออกมาแถลงการณ์วันนี้ว่าแฮกเกอร์ซึ่งอยู่เบื้องหลังการโจมตี SolarWinds ได้พุ่งเป้าโจมตีระบบของกระทรวงฯ และสามารถเข้าถึงอีเมลของบุคลากรภายในกระทรวงฯ เป็นจำนวน 3% ของจำนวนบุคลากรทั้งหมดได้

กระทรวงยุติธรรมสหรัฐฯ มีบุคลากรอยู่ทั้งสิ้น 100,000 ถึง 115,000 คน โดยหากนับจำนวน 3% ที่ได้รับผลกระทบนั้น ตัวเลขของผู้ที่ได้รับผลกระทบจะอยู่ที่ประมาณ 3,000 ถึง 3,450 คน โฆษกของกระทรวงฯ แถลงว่ายังไม่มีข้อบ่งชี้ซึ่งแสดงให้เห็นว่าระบบซี่งมีความละเอียดอ่อนและเป็นความลับนั้นได้รับผลกระทบจากการโจมตี

ที่มา: zdnet.

กลุ่ม Cyber Unified Coordination Group (UCG) ซึ่งเป็นการจัดตั้งขึ้นโดยการรวม FBI, CISA, ODNI และ NSA เฉพาะกิจได้มีการออกแถลงการณ์ยืนยันว่าการโจมตีที่เกิดขึ้นนั้นอาจมีชาวรัสเซียหรือผู้ที่ใช้ภาษารัสเซียเป็นหลักอยู่เบื้องหลัง

นอกเหนือจากการเปิดเผยข้อยืนยันในส่วนของผู้อยู่เบื้องหลังการโจมตีแล้ว UCG ยังออกมาเปิดเผยถึงหน่วยงานรัฐฯ ที่ได้รับผลกระทบว่ามีน้อยกว่า 10 ราย แม้จะมีการระบุจาก SolarWinds แก่ SEC ว่ามีองค์กรที่ดาวโหลดอัปเดตที่มีมัลแวร์ไปกว่า 18,000 ราย ข้อเท็จจริงนี้มีความเป็นไปได้สูงด้วยกลไกการทำงานของมัลแวร์ SUNBURST ที่ทำให้ผู้โจมตีสามารถเลือกเป้าหมายที่ติดมัลแวร์เพื่อโจมตีต่อไปได้

UCG เชื่อว่าเป้าหมายของการโจมตีนั้นมีจุดประสงค์เพื่อการรวบรวมข้อมูลข่าวกรอง ซึ่งอาจทำให้เราสามารถอนุมานได้ว่าผู้ที่อยู่เบื้องหลังการโจมตีจะสามารถใช้ประโยชน์จากข้อมูลข่าวกรองได้ ซึ่งก็หมายถึงหน่วยความข่าวกรองซึ่งเป็นปฏิปักษ์ต่อสหรัฐอเมริกานั่นเอง

ที่มา: www.

CISA ออกคำสั่งให้หน่วยงานรัฐฯ ในสหรัฐฯ ทำการอัปเดตแพลตฟอร์ม SolarWinds Orion ตามอัปเดตล่าสุดในทันที

Cybersecurity and Infrastructure Security Agency (CISA) ได้มีการออกคำสั่งให้หน่วยงานรัฐฯ ทำการอัปเดตรุ่นของแพลตฟอร์ม SolarWinds Orion เป็นรุ่นล่าสุดที่มีการแก้ไขปัญหาที่เกิดจาก SUNBURST และ SUPERNOVA ก่อนจะหมดช่วงเวลาทำการในวันที่ 31 ธันวาคม 2020 ในทันที โดยคำสั่งดังกล่าวมีผลกับองค์กรที่มีการใช้งานรุ่นของ SolarWinds Orion ที่ไม่ได้รับผลกระจาก SUNBURST และ SUPERNOVA เท่านั้น

มาตรการดังกล่าวเกิดจากความพยายามในการลดความเสี่ยงและควบคุมสถานการณ์หลังจากเกิดการโจมตี SolarWinds ในลักษณะ Supply-chain attack ซึ่งส่งผลให้เกิดผลกระทบกับระบบอื่นเป็นจำนวนมาก สำหรับรุ่นล่าสุดของ SolarWinds Orion ที่ CISA แนะนำให้ทำการอัปเดตโดยทันทีมีตามรายการดังต่อไปนี้

2019.4 HF 6 (released December 14, 2020)
2020.2.1 HF 2 (released December 15, 2020)
2019.2 SUPERNOVA Patch (released December 23, 2020)
2018.4 SUPERNOVA Patch (released December 23, 2020)
2018.2 SUPERNOVA Patch (released December 23, 2020)
สำหรับผู้อ่านที่ต้องการติดตามข้อมูลเพิ่มเติมเกี่ยวกับสถานการณ์และรายละเอียดการโจมตี SolarWinds สามารถอ่านจากบทวิเคราะห์โดยทีม Intelligent Response ได้ที่ https://www.

Microsoft แจ้งเตือนผลการตรวจสอบภายในจากกรณีการโจมตี SolarWinds เชื่อซอร์สโค้ดถูกเข้าถึง ไม่มีผลกระทบเพิ่มเติม

Microsoft ออกประกาศผลการตรวจสอบระบบภายในของตนเองหลังจากมีการตรวจพบว่าตนอาจได้รับผลกระทบจากกรณีการโจมตี SolarWinds ผลการตรวจสอบเบื้องต้นไม่พบการเข้าถึงระบบ Production และข้อมูลลูกค้า และไม่พบการใช้ระบบของ Microsoft ในการโจมตีบุคคลอื่น

อย่างไรก็ตาม Microsoft ตรวจพบพฤติกรรมของบัญชีภายในที่ผิดปกติ โดยพบว่าบัญชีผู้ใช้ดังกล่าวนั้นถูกใช้เพื่อเข้าถึงซอร์สโค้ดภายในหลายโครงการ อย่างไรก็ตามบัญชีดังกล่าวไม่ได้รับสิทธิ์ในการแก้ไขซอร์สโค้ดใดๆ และการตรวจสอบก็ไม่พบการเปลี่ยนแปลงของซอร์สโค้ดด้วย ผลกระทบที่อาจเกิดขึ้นจึงอยู่ในระดับที่ต่ำ

สำหรับผู้อ่านที่ต้องการติดตามข้อมูลเพิ่มเติมเกี่ยวกับสถานการณ์และรายละเอียดการโจมตี SolarWinds สามารถอ่านจากบทวิเคราะห์โดยทีม Intelligent Response ได้ที่ https://www.

FireEye ประกาศการค้นพบแคมเปญการโจมตีทั่้วโลกโดยกลุ่มแฮกเกอร์ซึ่งถูกติดตามในชื่อ UNC2452 ผ่านการฝังแบ็คดอร์ไว้ในไฟล์อัปเดตของซอฟต์แวร์ SolarWinds Orion เพื่อใช้ในการแพร่กระจายมัลแวร์ชื่อ SUNBRUST การตรวจสอบพบว่าพฤติกรรมและเทคนิคการโจมตีดังกล่าวจะเกี่ยวข้องกับสถานการณ์การรั่วไหลข้อมูลและเครื่องมือทำ Red team assessement ของทาง FireEye เอง

ในขณะนี้องค์กรซึ่งถูกยืนยันว่าถูกโจมตีแล้ว ได้แก่กระทรวงการคลังสหรัฐฯ, National Telecommunications and Information Administration หรือ NTIA ซึ่งเป็นหน่วยงานภายใต้กระทรวงพาณิชย์สหรัฐฯ และ FireEye ด้วย ทั้งนี้ FireEye เชื่อว่าเหยื่อในการโจมตีอาจมีมากกว่าที่ตรวจพบและอาจมีอยู่ทั่วโลก ทุกลักษณะธุรกิจและองค์กร

แหล่งข่าวมีการให้ข้อมูลกับ Washington Post ว่าการโจมตีดังกล่าวมีลักษณะเชื่อมโยงไปยังกลุ่ม APT29 ซึ่งเป็นกลุ่ม APT ที่เกี่ยวกับกับรัฐบาลรัสเซีย ทั้งนี้ FireEye ไม่ได้มีการยืนยันข้อเท็จจริงในส่วนนี้

ทีม Intelligent Response ขอสรุปรายละเอียด เทคนิคและพฤติกรรมการโจมตีตามรายการดังต่อไปนี้

รูปแบบการโจมตีที่ FireEye ตรวจพบนั้นเป็นลักษณะที่ถูกเรียกว่า Supply-chain คือการที่ผู้โจมตีโจมตีซอฟต์แวร์ ฮาร์ดแวร์หรือทรัพยากรที่จำเป็นที่องค์กรต้องใช้ในการดำเนินงาน จากนั้นใช้ประโยชน์จากการโจมตีนั้นในการบุกรุกและติดตั้งมัลแวร์
ซอฟต์แวร์ซึ่งถูกโจมตีในครั้งนี้คือ SolarWinds Orion ซึ่งใช้ในการตรวจสอบและเฝ้าระวังอุปกรณ์ไอทีในองค์กร โดย SolarWinds ได้ออกมายืนยันการโจมตีและเผยแพร่ Security advisory แล้ว
อ้างอิงจากรายละเอียดของ SolarWinds ซอฟต์แวร์ Orion ตั้งแต่เวอร์ชัน 2019.4 จนถึง 2020.21 ซึ่งถูกเผยแพร่ตั้งแต่เดือนมีนาคม 2020 จนถึงมิถุนายน 2020 ได้ถูกแก้ไขและติดตั้งแบ็คดอร์
แบ็คดอร์ซึ่งถูกติดตั้งถูกระบุชื่อโดย FireEye ว่า SUNBURST และถูกตรวจจับโดยไมโครซอฟต์ในชื่อ Solorigate
ในขณะนี้ FireEye ได้มีการเผยแพร่รายงานการวิเคราะห์มัลแวร์และแนวทางในการตรวจจับและเฝ้าระวังแล้ว
SolarWinds มีแผนจะปล่อยอัปเดต 2020.2.1 HF 2 ในวันที่ 15 ธันวาคมนี้ โดยอัปเดตจะนำส่วนของซอฟต์แวร์ที่มีแบ็คดอร์ออก และเพิ่มความปลอดภัยระบบ

ที่มา:

https://www.