13 грудня 2020 року було оприлюднено інформацію про масштабну кібератаку проти тисяч державних та недержавних установ у США та за їх межами. Підозра лягла на російське угрупування APT29 (також відоме як «Cozy Bear», «The Dukes»), яке підпорядковане службі зовнішньої розвідки РФ[1][2].
Кібератака розпочалась не пізніше березня 2020 року[3][4]. Зловмисники використовували вразливості програмного забезпечення щонайменше трьох розробників ПЗ зі США: Microsoft, SolarWinds[en] та VMware[5][6]. Атака ланцюга поставок[en] на хмарний сервіс Microsoft надала зловмисникам один зі шляхів до злому жертв, залежно від того, чи були послуги придбані жертвами через посередника[7][8][9]. Також була здійснена атака ланцюга поставок на жертв, які використовували програми спостереження та управління комп'ютерними мережами Orion від компанії SolarWinds, які широко використовуються урядом та промисловістю США[10][11]. Вади ПЗ від Microsoft та VMWare дозволили зловмисникам отримати доступ до електронних листів та інших документів[12][13][14][15] та виконати федеровану автентифікацію[en] до ресурсів жертви за допомогою технології єдиного входу[6][16][17].
Зловмисникам вдалось вбудувати власний модуль (фахівці компанії FireEye назвали його «Sunburst») в систему Orion, який відкривав «чорний хід» в комп'ютерні мережі жертв[18].
Було атаковано до 200 організацій у всьому світі. Серед них більшу частину склали держоргани США та американські компанії, проте це зачепила і НАТО, парламент Британії та Європейський парламент.[19]
Американський сенатор Дік Дурбін назвав цю атаку рівнозначною оголошенню війни[20][21].
Наслідки
У квітні 2021 року США вислали ряд російських дипломатів, Британія та США звинуватили Росію у спробі дестабілізації[2].
У відповідь на низку великих кібератак, зокрема і «Sunburst», в травні 2021 року Президент США Джозеф Байден видав виконавчий наказ стосовно підсилення кіберзахисту в інформаційних мережах федерального уряду США. Одним із важливих заходів було перелічено і впровадження принципів «нульової довіри»[22].
19 січня 2022 року Президентом США було підписано меморандум, яким було уточнено попередній наказ, перелічено заходи, які мають вжиті керівниками різних федеральних відомств, вказано терміни виконання, тощо. Серед всього іншого, було висунуто вимогу впроваджувати принципи «нульової довіри», зокрема, як окреслено в документі NIST 800—207, тощо[22]>[23].
Відомі жертви
Система Orion має близько 18 тисяч різних користувачів і відповідно зловмисники мали «чорний хід» до їхніх комп'ютерних мереж. Однак, інтерес привернули далеко не всі[18].
За даними компанії Microsoft, отриманими, в першу чергу, від Windows Defender, із 18 тисяч уражених «Sunburst» організацій, зловмисники проникли лише до 40. Тобто, зловмисників цікавили лише близько 0,2 % уражених організацій[24].
Переважна більшість жертв, близько 80 %, знаходяться в Сполучених Штатах. Майже половина, 44 %, жертв — компанії та організації зі сфери інформаційних технологій (розробники програмного забезпечення, виробники обладнання). 18 % жертв — аналітичні центри та неурядові організації. Основна увага серед урядових організацій та підрядників припала на сфери національної безпеки, оборони, медицини, телекомунікацій[24].
Відомо, що зловмисники отримали несанкційований доступ до комп'ютерних мереж та інформаційних систем:
