A Microsoft elnöke a valaha volt "legnagyobb és legkifinomultabb támadásnak" titulálta azt a hosszú hónapokig észrevétlenül zajló kiberkémkedési kampányt, amelynek nyomait csak múlt év decemberében fedezték fel az USA-ban. Utóbbiban nagy szerepe volt Redmondnak, amely maga is az áldozatok hosszú listáján szerepelt. Brad Smith a felismerés óta eltelt időszak vizsgálati eredményeivel kapcsolatban osztott meg érdekes részleteket a CBSNewsnak adott interjújában.

Megdöbbentő számok

Az Egyesült Államok az akció mögött egyértelműen Oroszországot látja felsejleni, ami egyáltalán nem tűnik megalapozatlannak a Microsoft elnöke által citált számok tükrében. Azt már eddig is tudni lehetett, hogy a támadást az informatikai megoldásokat szállító SolarWinds szoftverének frissítésébe rejtett károkozóval hajtották végre. Ez azért volt nagyon kellemetlen, mert a cég partnerei között különböző amerikai kormányzati ügynökségek, a hadsereg és nemzetbiztonsági szolgáltatok is szerepelnek. De a SolarWinds ügyfelei között ott van a USA tíz legnagyobb telekommunikációs szolgáltatója, sőt a Fortune 500-as lista legtöbb szereplője. Az akcióban érintett szervezetek számát jelenleg 18 ezerre becsülik.

A Microsoft a hekkelés felfedezését követően 500 szakembert állított csatasorba a szálak kibogozásához. Smith szerint miközben azon dolgoztak, hogy kivizsgálják az esetet, felmerült bennük a kérdés, hogy vajon hány mérnök közös erőfeszítése kellett ahhoz, hogy mindezt véghez tudják vinni. A cég szakértői becslése szerint a válasz az, hogy legalább 1000 emberre volt szükség.

Az interjúból az is kiderült, hogy a felfedezést nehezítette, hogy a támadók alig több mint 4000 kódsort változtattak meg a SolarWinds Orion elnevezésű termékében, amely összesen több millió sor kódot tartalmaz.

A Microsoft elnöke még a felfedezést követően arról is beszélt, hogy az ügy azért is nyugtalanító, mert ugyan az államok egymás titkai után azóta kutakodnak, mióta világ a világ, ám ez a támadás sokkal komolyabb és nagyobb hatásfokú volt azáltal, hogy a teljes gazdaságot veszélynek tette ki a technológiai beszállítói lánc kompromittálásával.

Egy távoli bejelentkezésen buktak meg

A történet egy másik szála a FireEye biztonsági céghez kötődik. Az ügyfeleinek betonbiztos kibervédelmet ígérő vállalat belső rendszerébe szintén sikerült bejutniuk a hekkereknek. Az akciót ott is meglehetősen csendben tudták véghezvinni a támadók, ám végül egy figyelmes munkatárs talált egy gyanús nyomot.

A cég ügyvezetője maga számolt be róla, hogy egy munkatársa a távoli munkavégzéshez szükséges kétfaktoros azonosítással lépett be a FireEye rendszerébe, ám a biztonságért felelő csapatnak feltűnt, hogy két külön telefonszám is regisztrálva van ugyanarra a névre. Egy gyors ellenőrző hívás kiderítette, hogy a kolléga csak egyetlen mobilt használ, azaz a másik szám mögött illetéktelen behatolási kísérlet állhat.

Ugyan a FireEye esetében is a SolarWinds frissítésével került kártékony kód a szervezet falain belülre, ám az időközben zajló kormányzati kivizsgálás arra jutott, hogy bizonyosan nem ez volt az egyetlen csatorna, amelyet a hekkerek használtak. Erre utal, hogy a kompromittált szervezetek nagyjából 30 százalékának semmiféle közvetlen kapcsolata nem volt a SolarWinds termékeivel.