https://wiki.ixheim.de/index.php?action=history&feed=atom&title=Solar_Winds_Hack 2026-11-12T14:46:34Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.43.11 https://wiki.ixheim.de/index.php?title=Solar_Winds_Hack&diff=59482&oldid=prev 2025-03-09T06:18:12Z

<p></p> <table style="background-color: #fff; color: #202122;" data-mw="interface"> <col class="diff-marker" /> <col class="diff-content" /> <col class="diff-marker" /> <col class="diff-content" /> <tr class="diff-title" lang="de"> <td colspan="2" style="background-color: #fff; color: #202122; text-align: center;">← Nächstältere Version</td> <td colspan="2" style="background-color: #fff; color: #202122; text-align: center;">Version vom 9. März 2025, 06:18 Uhr</td> </tr><tr><td colspan="2" class="diff-lineno" id="mw-diff-left-l1">Zeile 1:</td> <td colspan="2" class="diff-lineno">Zeile 1:</td></tr> <tr><td class="diff-marker" data-marker="−"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #ffe49c; vertical-align: top; white-space: pre-wrap;"><div>=<del style="font-weight: bold; text-decoration: none;">= Einleitung =</del>=</div></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div>=<ins style="font-weight: bold; text-decoration: none;">Grundsätzliches</ins>=</div></td></tr> <tr><td class="diff-marker" data-marker="−"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #ffe49c; vertical-align: top; white-space: pre-wrap;"><div>Der SolarWinds-Hack, <del style="font-weight: bold; text-decoration: none;">auch bekannt unter dem Codenamen "Sunburst", ist einer der bedeutendsten und komplexesten Cyberangriffe in der Geschichte der Informationstechnologie. Er wurde Ende 2020 entdeckt und </del>betraf die <del style="font-weight: bold; text-decoration: none;">Orion</del>-<del style="font-weight: bold; text-decoration: none;">Softwareplattform </del>von SolarWinds, <del style="font-weight: bold; text-decoration: none;">ein weitverbreitetes Netzwerkmanagement</del>-<del style="font-weight: bold; text-decoration: none;">Tool. Dieser Angriff illustriert </del>die <del style="font-weight: bold; text-decoration: none;">Bedrohung durch </del>staatlich unterstützte <del style="font-weight: bold; text-decoration: none;">Hacker </del>und <del style="font-weight: bold; text-decoration: none;">die Anfälligkeit von Supply Chains in der Softwareentwicklung.</del></div></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* </ins>Der SolarWinds-Hack <ins style="font-weight: bold; text-decoration: none;">war eine hochentwickelte '''Advanced Persistent Threat (APT)'''-Kampagne</ins>, <ins style="font-weight: bold; text-decoration: none;">die weltweit Tausende Organisationen </ins>betraf</div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Die Angreifer kompromittierten </ins>die <ins style="font-weight: bold; text-decoration: none;">Software</ins>-<ins style="font-weight: bold; text-decoration: none;">Lieferkette </ins>von SolarWinds, <ins style="font-weight: bold; text-decoration: none;">einem Anbieter für IT-Management-Software</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Die Attacke wurde durch eine infizierte Version der Orion</ins>-<ins style="font-weight: bold; text-decoration: none;">Software verbreitet, </ins>die <ins style="font-weight: bold; text-decoration: none;">von Unternehmen und Regierungsbehörden genutzt wurde</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Die Hintermänner gelten als </ins>staatlich unterstützte <ins style="font-weight: bold; text-decoration: none;">Hackergruppe, mutmaßlich aus Russland (APT29/Cozy Bear)</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Der Angriff ermöglichte den Zugang zu Netzwerken zahlreicher US-Behörden, Unternehmen </ins>und <ins style="font-weight: bold; text-decoration: none;">kritischer Infrastrukturen</ins></div></td></tr> <tr><td class="diff-marker"></td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><br></td><td class="diff-marker"></td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><br></td></tr> <tr><td class="diff-marker" data-marker="−"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #ffe49c; vertical-align: top; white-space: pre-wrap;"><div>=<del style="font-weight: bold; text-decoration: none;">= Angriffsvektor =</del>=</div></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div>=<ins style="font-weight: bold; text-decoration: none;">Technische Details</ins>=</div></td></tr> <tr><td class="diff-marker" data-marker="−"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #ffe49c; vertical-align: top; white-space: pre-wrap;"><div>Die <del style="font-weight: bold; text-decoration: none;">Hauptstrategie </del>der <del style="font-weight: bold; text-decoration: none;">Angreifer bestand darin</del>, eine <del style="font-weight: bold; text-decoration: none;">Supply</del>-<del style="font-weight: bold; text-decoration: none;">Chain</del>-<del style="font-weight: bold; text-decoration: none;">Attacke durchzuführen. Sie injizierten schädlichen Code in die Software</del>-<del style="font-weight: bold; text-decoration: none;">Entwicklungs</del>- und <del style="font-weight: bold; text-decoration: none;">Distributionsprozesse von SolarWinds. Dieser Code wurde Teil eines offiziellen Software</del>-<del style="font-weight: bold; text-decoration: none;">Updates für das Orion</del>-<del style="font-weight: bold; text-decoration: none;">Produkt</del>, <del style="font-weight: bold; text-decoration: none;">das zwischen März </del>und <del style="font-weight: bold; text-decoration: none;">Juni 2020 veröffentlicht wurde.</del></div></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* </ins>Die <ins style="font-weight: bold; text-decoration: none;">Malware wurde als '''SUNBURST''' bezeichnet und in legitime Updates </ins>der <ins style="font-weight: bold; text-decoration: none;">SolarWinds Orion-Software eingebaut</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Nach der Installation verhielt sich die Malware zunächst unauffällig</ins>, <ins style="font-weight: bold; text-decoration: none;">um nicht entdeckt zu werden</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Sie kontaktierte </ins>eine <ins style="font-weight: bold; text-decoration: none;">'''Command</ins>-<ins style="font-weight: bold; text-decoration: none;">and</ins>-<ins style="font-weight: bold; text-decoration: none;">Control (C2)'''</ins>-<ins style="font-weight: bold; text-decoration: none;">Infrastruktur und ließ Angreifer schrittweise Zugriff auf infizierte Systeme gewinnen</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Die Angreifer nutzten '''Golden SAML'''</ins>-<ins style="font-weight: bold; text-decoration: none;">Angriffe, um sich als vertrauenswürdige Benutzer auszugeben </ins>und <ins style="font-weight: bold; text-decoration: none;">Sicherheitsmechanismen zu umgehen</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Es wurden zahlreiche '''Credential</ins>-<ins style="font-weight: bold; text-decoration: none;">Dumping'''</ins>-<ins style="font-weight: bold; text-decoration: none;">Techniken angewandt</ins>, <ins style="font-weight: bold; text-decoration: none;">um administrative Berechtigungen zu erlangen</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Die Infektion breitete sich über seitliche Bewegungen in Netzwerken aus und ermöglichte langfristige Überwachung </ins>und <ins style="font-weight: bold; text-decoration: none;">Datendiebstahl</ins></div></td></tr> <tr><td class="diff-marker"></td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><br></td><td class="diff-marker"></td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><br></td></tr> <tr><td class="diff-marker" data-marker="−"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #ffe49c; vertical-align: top; white-space: pre-wrap;"><div>== <del style="font-weight: bold; text-decoration: none;">Technische Details des Angriffs ==</del></div></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div>= <ins style="font-weight: bold; text-decoration: none;">Timeline </ins>=</div></td></tr> <tr><td class="diff-marker" data-marker="−"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #ffe49c; vertical-align: top; white-space: pre-wrap;"><div><del style="font-weight: bold; text-decoration: none;">=== Einschleusung des Schadcodes ===</del></div></td><td colspan="2" class="diff-side-added"></td></tr> <tr><td class="diff-marker" data-marker="−"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #ffe49c; vertical-align: top; white-space: pre-wrap;"><div><del style="font-weight: bold; text-decoration: none;">Die Angreifer nutzten einen kompromittierten Zugang zum Software-Build-Prozess von SolarWinds. Sie fügten den Schadcode in die Bibliotheken der Orion-Plattform ein, was als Trojanisierung des Build-Prozesses bekannt ist. Der Code wurde so konzipiert, dass er nach einer Ruhephase von zwei Wochen aktiv wurde, um eine frühzeitige Entdeckung zu vermeiden.</del></div></td><td colspan="2" class="diff-side-added"></td></tr> <tr><td class="diff-marker"></td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><br></td><td class="diff-marker"></td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><br></td></tr> <tr><td class="diff-marker" data-marker="−"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #ffe49c; vertical-align: top; white-space: pre-wrap;"><div>==<del style="font-weight: bold; text-decoration: none;">= Verbreitung und Maskierung =</del>==</div></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div>== <ins style="font-weight: bold; text-decoration: none;">2019 </ins>==</div></td></tr> <tr><td class="diff-marker" data-marker="−"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #ffe49c; vertical-align: top; white-space: pre-wrap;"><div><del style="font-weight: bold; text-decoration: none;">Nach der Aktivierung des Schadcodes etablierte dieser eine Verbindung zu einem Command</del>-<del style="font-weight: bold; text-decoration: none;">and-Control-Server (C2), von dem aus die Angreifer Anweisungen senden konnten. Um nicht entdeckt zu werden, tarnten die </del>Angreifer <del style="font-weight: bold; text-decoration: none;">den Netzwerkverkehr als </del>Orion-<del style="font-weight: bold; text-decoration: none;">Verbesserungsprogrammdaten und nutzten weitere Techniken zur Verschleierung ihrer Aktivitäten.</del></div></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Die erste Infiltration von SolarWinds</ins>-<ins style="font-weight: bold; text-decoration: none;">Infrastruktur erfolgt</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* </ins>Angreifer <ins style="font-weight: bold; text-decoration: none;">platzieren Backdoors in </ins>Orion-<ins style="font-weight: bold; text-decoration: none;">Software-Updates</ins></div></td></tr> <tr><td class="diff-marker"></td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><br></td><td class="diff-marker"></td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><br></td></tr> <tr><td class="diff-marker" data-marker="−"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #ffe49c; vertical-align: top; white-space: pre-wrap;"><div>==<del style="font-weight: bold; text-decoration: none;">= Datendiebstahl und Spionage =</del>==</div></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div>== <ins style="font-weight: bold; text-decoration: none;">2020 </ins>==</div></td></tr> <tr><td class="diff-marker" data-marker="−"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #ffe49c; vertical-align: top; white-space: pre-wrap;"><div><del style="font-weight: bold; text-decoration: none;">Einmal im Netzwerk</del>, <del style="font-weight: bold; text-decoration: none;">bewegten sich </del>die Angreifer <del style="font-weight: bold; text-decoration: none;">lateral</del>, <del style="font-weight: bold; text-decoration: none;">um weitere sensible </del>Systeme <del style="font-weight: bold; text-decoration: none;">zu infiltrieren. Sie sammelten Informationen, darunter E</del>-<del style="font-weight: bold; text-decoration: none;">Mails und Dokumente, und gewannen tiefe Einblicke </del>in <del style="font-weight: bold; text-decoration: none;">die internen Prozesse und Sicherheitsmaßnahmen der betroffenen Organisationen.</del></div></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Die infizierte Orion-Software wird über offizielle Updates an Kunden ausgeliefert</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Mehr als 18.000 Organisationen installieren unbewusst die kompromittierte Version</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Die Malware aktiviert sich und beginnt</ins>, <ins style="font-weight: bold; text-decoration: none;">Netzwerkzugriffe an </ins>die Angreifer <ins style="font-weight: bold; text-decoration: none;">zu übermitteln</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Der Angriff wird im Dezember 2020 von [[FireEye]] entdeckt</ins>, <ins style="font-weight: bold; text-decoration: none;">nachdem eigene </ins>Systeme <ins style="font-weight: bold; text-decoration: none;">kompromittiert wurden</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* US</ins>-<ins style="font-weight: bold; text-decoration: none;">Regierungsbehörden bestätigen den großflächigen Einbruch </ins>in <ins style="font-weight: bold; text-decoration: none;">sicherheitskritische Netzwerke</ins></div></td></tr> <tr><td class="diff-marker"></td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><br></td><td class="diff-marker"></td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><br></td></tr> <tr><td class="diff-marker" data-marker="−"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #ffe49c; vertical-align: top; white-space: pre-wrap;"><div>== <del style="font-weight: bold; text-decoration: none;">Aufdeckung und Reaktion </del>==</div></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div>== <ins style="font-weight: bold; text-decoration: none;">2021 </ins>==</div></td></tr> <tr><td class="diff-marker" data-marker="−"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #ffe49c; vertical-align: top; white-space: pre-wrap;"><div><del style="font-weight: bold; text-decoration: none;">FireEye</del>, <del style="font-weight: bold; text-decoration: none;">ein Sicherheitsunternehmen</del>, <del style="font-weight: bold; text-decoration: none;">das selbst </del>betroffen <del style="font-weight: bold; text-decoration: none;">war, entdeckte den Angriff </del>und <del style="font-weight: bold; text-decoration: none;">machte ihn öffentlich. Dies führte zu einer intensiven Überprüfung </del>und Analyse <del style="font-weight: bold; text-decoration: none;">der Sicherheitsmaßnahmen in zahlreichen Organisationen weltweit. Als Reaktion auf </del>den Angriff wurden <del style="font-weight: bold; text-decoration: none;">umfangreiche Maßnahmen zur Stärkung </del>der <del style="font-weight: bold; text-decoration: none;">Cybersicherheit </del>und zur Überwachung <del style="font-weight: bold; text-decoration: none;">der Software</del>-<del style="font-weight: bold; text-decoration: none;">Entwicklungsketten eingeleitet</del>.</div></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Nachforschungen zeigen</ins>, <ins style="font-weight: bold; text-decoration: none;">dass zahlreiche US-Behörden</ins>, <ins style="font-weight: bold; text-decoration: none;">Technologieunternehmen und kritische Infrastrukturen </ins>betroffen <ins style="font-weight: bold; text-decoration: none;">sind</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* SolarWinds und Sicherheitsforscher arbeiten an Patches </ins>und <ins style="font-weight: bold; text-decoration: none;">Schadensbegrenzung</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* US-Regierung verhängt Sanktionen gegen Russland als mutmaßlichen Angreifer</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div> </div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">= Entdeckung </ins>und Analyse <ins style="font-weight: bold; text-decoration: none;">=</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* [[FireEye]] entdeckt </ins>den Angriff<ins style="font-weight: bold; text-decoration: none;">, als eigene Red-Team-Tools kompromittiert </ins>wurden</div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Eine forensische Untersuchung deckt die Manipulationen in </ins>der <ins style="font-weight: bold; text-decoration: none;">SolarWinds Orion-Software auf</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Die Analyse zeigt, dass die Malware über lange Zeiträume unbemerkt aktiv war</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Die kompromittierten Systeme ermöglichten tiefgehende Spionage </ins>und <ins style="font-weight: bold; text-decoration: none;">Datenexfiltration</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div> </div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">= Schutzmaßnahmen =</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Unternehmen und Behörden sollten verstärkte Sicherheitsprüfungen in der Software-Lieferkette durchführen</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Zero-Trust-Modelle und segmentierte Netzwerke reduzieren das Risiko von lateralen Bewegungen</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Implementierung von '''Multi-Factor Authentication (MFA)''' </ins>zur <ins style="font-weight: bold; text-decoration: none;">Absicherung gegen gestohlene Anmeldedaten</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* </ins>Überwachung <ins style="font-weight: bold; text-decoration: none;">von ungewöhnlichen Netzwerkaktivitäten und verdächtigen DNS-Anfragen</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* Regelmäßige Updates und Patches für Systeme sowie verstärkte Protokollierung von Zugriffsversuchen</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div> </div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">= Links =</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* https://www.fireeye.com/blog/threat-research/2020/12/global-intrusion-campaign-leverages-software-supply-chain-compromise.html</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* https://www.cisa.gov/news-events/alerts/aa20-352a</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* https://www.microsoft.com/security/blog/2021/01/05/decoding-sunburst-understanding-techniques-used-by</ins>-<ins style="font-weight: bold; text-decoration: none;">unc2452/</ins></div></td></tr> <tr><td colspan="2" class="diff-side-deleted"></td><td class="diff-marker" data-marker="+"></td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">* https://www.solarwinds</ins>.<ins style="font-weight: bold; text-decoration: none;">com/securityadvisory</ins></div></td></tr> <!-- diff cache key my_wiki:diff:1.41:old-52910:rev-59482:php=table --> </table>

Thomas.will https://wiki.ixheim.de/index.php?title=Solar_Winds_Hack&diff=52910&oldid=prev 2024-04-12T16:00:23Z

<p>Die Seite wurde neu angelegt: „== Einleitung == Der SolarWinds-Hack, auch bekannt unter dem Codenamen &quot;Sunburst&quot;, ist einer der bedeutendsten und komplexesten Cyberangriffe in der Geschichte…“</p> <p><b>Neue Seite</b></p><div>== Einleitung ==<br /> Der SolarWinds-Hack, auch bekannt unter dem Codenamen &quot;Sunburst&quot;, ist einer der bedeutendsten und komplexesten Cyberangriffe in der Geschichte der Informationstechnologie. Er wurde Ende 2020 entdeckt und betraf die Orion-Softwareplattform von SolarWinds, ein weitverbreitetes Netzwerkmanagement-Tool. Dieser Angriff illustriert die Bedrohung durch staatlich unterstützte Hacker und die Anfälligkeit von Supply Chains in der Softwareentwicklung.<br /> <br /> == Angriffsvektor ==<br /> Die Hauptstrategie der Angreifer bestand darin, eine Supply-Chain-Attacke durchzuführen. Sie injizierten schädlichen Code in die Software-Entwicklungs- und Distributionsprozesse von SolarWinds. Dieser Code wurde Teil eines offiziellen Software-Updates für das Orion-Produkt, das zwischen März und Juni 2020 veröffentlicht wurde.<br /> <br /> == Technische Details des Angriffs ==<br /> === Einschleusung des Schadcodes ===<br /> Die Angreifer nutzten einen kompromittierten Zugang zum Software-Build-Prozess von SolarWinds. Sie fügten den Schadcode in die Bibliotheken der Orion-Plattform ein, was als Trojanisierung des Build-Prozesses bekannt ist. Der Code wurde so konzipiert, dass er nach einer Ruhephase von zwei Wochen aktiv wurde, um eine frühzeitige Entdeckung zu vermeiden.<br /> <br /> === Verbreitung und Maskierung ===<br /> Nach der Aktivierung des Schadcodes etablierte dieser eine Verbindung zu einem Command-and-Control-Server (C2), von dem aus die Angreifer Anweisungen senden konnten. Um nicht entdeckt zu werden, tarnten die Angreifer den Netzwerkverkehr als Orion-Verbesserungsprogrammdaten und nutzten weitere Techniken zur Verschleierung ihrer Aktivitäten.<br /> <br /> === Datendiebstahl und Spionage ===<br /> Einmal im Netzwerk, bewegten sich die Angreifer lateral, um weitere sensible Systeme zu infiltrieren. Sie sammelten Informationen, darunter E-Mails und Dokumente, und gewannen tiefe Einblicke in die internen Prozesse und Sicherheitsmaßnahmen der betroffenen Organisationen.<br /> <br /> == Aufdeckung und Reaktion ==<br /> FireEye, ein Sicherheitsunternehmen, das selbst betroffen war, entdeckte den Angriff und machte ihn öffentlich. Dies führte zu einer intensiven Überprüfung und Analyse der Sicherheitsmaßnahmen in zahlreichen Organisationen weltweit. Als Reaktion auf den Angriff wurden umfangreiche Maßnahmen zur Stärkung der Cybersicherheit und zur Überwachung der Software-Entwicklungsketten eingeleitet.</div>

Thomas.will