В сеть стратегически важного поставщика IT-решений для американских правительственных организаций
SolarWinds хакеры ходят как к себе домой.
Вскоре после публикации
FireEye материалов в отношении выявленной компрометации
SolarWinds и заражения NMS
Orion бэкдором
SUNBURST, ряд инфосек вендоров, например
Symantec и
Palo Alto Networks, упоминали веб-шелл
Supernova, с помощью которого хакеры доставляли бэкдор
CosmicGale.
Однако теперь
оказывается, что
Supernova, похоже, принадлежит другой хакерской группе,не являющейся автором атаки
SUNBURST. В частности,
Supernova не был подписан легитимным сертификатом, в отличие от
SUNBURST.
Ник Карр, исследователь
Microsoft, предполагает, что
Supernova были заражены установки
SolarWinds Orion, которые были открыты в сети, и для этого использовались эксплойты некой уязвимости, аналогичной CVE-2019-8917 (дырка в
Orion, закрытая в конце 2018 года). Но до конца еще ничего не понятно и вполне возможно, что сеть
SolarWinds была взломана не только авторами
SUNBURST.
Ну и, в общем-то, мы уже не удивляемся второй хакерской группе, скомпрометировавшей ПО
SolarWinds, особенно
вспоминая их проблемы с безопасностью.