攻擊者入侵了IT公司SolarWinds，利用其軟件渠道向該公司的18000個Orion平臺客戶發(fā)布惡意更新。這種情況被稱為供應(yīng)鏈攻擊，因為它依賴于已經(jīng)被信任并且可以立即廣泛發(fā)布的軟件，因此基本上是最隱蔽和最難檢測的。
美國國土安全部發(fā)布了一項緊急指令，要求所有聯(lián)邦機構(gòu)立即采取措施，將受影響的SolarWindsOrion產(chǎn)品下線，并在周一之前將所有相關(guān)信息上報。
我們知道，盡管此事件有助于揭露這個具有深遠影響的高級攻擊，但與安全公司FireEye竊取的攻擊性工具相比，攻擊者希望獲得的是更多有價值的東西。由于這個攻擊活動仍在繼續(xù)發(fā)展，我們將隨時向客戶通報任何新進展。
呼吁采取行動
立即隔離運行2020年3月至2020年6月發(fā)布的運行Orion平臺版本HF52019.4至2020.2.1的所有系統(tǒng)。
使用Malwarebytes掃描您的電腦，看看是否有任何檢測到的東西，尤其是Backdoor.Sunburst和Backdoor.WebShell。
使用此博客結(jié)尾處的IOC，在日志、遙測和其他SIEM數(shù)據(jù)中進行搜索，以提供時間線透視圖來分析任何潛在的入侵。執(zhí)行全面的安全掃描，以檢查和強化您的物理和云基礎(chǔ)架構(gòu)。
如果您已經(jīng)充分做到了前面幾點，請升級到OrionPlatform版本2020.2.1HF2并還原系統(tǒng)。
更多內(nèi)容
SolarWinds：SolarWinds安全咨詢
FireEye：高度逃避的攻擊者通過SUNWINRST后門利用SolarWinds供應(yīng)鏈來攻擊多個全球范圍內(nèi)的受害者
微軟：最近關(guān)于網(wǎng)絡(luò)攻擊的客戶指南
風(fēng)險：DarkHalo利用SolarWinds破壞組織
CISA：政府機構(gòu)，關(guān)鍵基礎(chǔ)設(shè)施和私營部門組織的高級持續(xù)威脅折衷方案
本文翻譯自：
https://blog.malwarebytes.com/threat-analysis/2020/12/advanced-cyber-attack-hits-private-and-public-sector-via-supply-chain-software-update/
