כשהעדכון המהימן הפך לדלת כניסה לרשת
קוד זדוני בשרשרת הבנייה, עדכוני Orion חתומים והשלכות שנמשכו שנים לאחר גילוי המתקפה.
לקוחות בהערכת החשיפה הראשונית
הערכת SolarWinds מדצמבר 2020 להתקנת גרסאות נגועות.[1]
הוצאות ברוטו ברבעון אחד
ברבעון הראשון של 2021, לפני קיזוז החזרי ביטוח צפויים.[5]
הודעת סיום הליך האכיפה
ה-SEC הגישה בקשה מוסכמת לדחיית התביעה נגד החברה ומנהל האבטחה.[8]
האירוע בקצרה
בדצמבר 2020 נחשפה מתקפת שרשרת אספקה שבה הוחדר קוד זדוני לעדכוני Orion של SolarWinds, תוכנה לניטור רשתות. ארגונים התקינו עדכונים שנראו לגיטימיים, ובכך נחשפו לדלת אחורית בשם SUNBURST. התיק עוסק בריגול דרך שרשרת התוכנה ובהשלכות הטכניות, העסקיות והמשפטיות שלו.
מוצר ניטור עם גישה רחבה
Orion משמש ארגונים לניטור ולניהול תשתיות מחשוב. Mandiant תיארה רכיב תוכנה חתום דיגיטלית שהכיל דלת אחורית ונשלח כחלק מעדכוני המוצר.[2]
חשיפה אינה בהכרח ניצול מלא
בהודעתה הראשונית העריכה SolarWinds שפחות מ-18 אלף לקוחות התקינו גרסאות שנפגעו. מספר זה אינו אומר שבכל הארגונים בוצעו אותם שלבי תקיפה או נגנב מידע.[1]
ציר זמן
- אוקטובר 2019דיווח החברה
ניסוי בשרשרת הבנייה
לפי עדכון החקירה של SolarWinds, התוקף בדק יכולת להחדיר קוד לתהליך הבנייה עוד לפני הפצת SUNBURST.[3]
- מרץ–יוני 2020
- 13 בדצמבר 2020מחקר וחקירה
חשיפה פומבית ומחקר ראשוני
FireEye פרסמה את מחקר SUNBURST ותיארה חדירה דרך שרשרת עדכוני התוכנה.[2]
- 14 בדצמבר 2020דיווח החברה
SolarWinds מדווחת לבורסה
החברה דיווחה על האירוע ועל הערכת מספר הלקוחות שהתקינו גרסאות שנפגעו.[1]
- 15 באפריל 2021
ייחוס רשמי ל-SVR
בריטניה וארצות הברית ייחסו את פעילות הריגול לשירות ביון החוץ הרוסי.[4]
- מאי 2021דיווח החברה
פרסום הוצאות הרבעון הראשון
החברה דיווחה על הוצאות ברוטו של 20.4 מיליון דולר ועל הוצאות נטו של 10.2 מיליון דולר לאחר החזרי ביטוח צפויים.[5]
- 2 במרץ 2023דיווח החברה
מימון הסדר תביעת משקיעים
בדוח החברה נמסר ששולמו 26 מיליון דולר למימון הסדר. במועד הדוח ההסדר עדיין הותנה באישור סופי.[6]
- 30 באוקטובר 2023
ה-SEC מגישה תביעה אזרחית
הרשות הגישה תביעה נגד SolarWinds ומנהל האבטחה טימותי בראון. טענותיה לא היו פסק דין.[7]
- 20 בנובמבר 2025
ה-SEC מבקשת לסיים את התביעה
הרשות הודיעה על בקשה משותפת לדחייה סופית של הליך האכיפה. אין להציג את התביעה המקורית כהליך שעודנו מתנהל.[8]
מה קרה טכנית
התקיפה עברה דרך מוצר חתום
Mandiant זיהתה קוד זדוני ברכיב Orion שהיה חתום דיגיטלית. אמינות החתימה לא הספיקה להוכיח שתהליך הבנייה עצמו נשאר תקין.[2]
שהייה והסוואה לפני הפעלה
הדלת האחורית המתינה עד כשבועיים לפני הפעלת תקשורת, וניסתה להידמות לפעילות רגילה של המוצר. החוקרים תיארו גם בדיקות לזיהוי כלי אבטחה וחקירה.[2]
מתהליך בנייה לעדכון אצל הלקוח
עדכון החקירה של SolarWinds תיאר בדיקת היתכנות ב-2019 והזרקת הקוד מאוחר יותר. כך נוצר מסלול משותף לסיכון של לקוחות רבים בלי לפנות לכל אחד מהם בנפרד.[3]
המשך פעילות אצל יעדים נבחרים
Mandiant תיארה שימוש בפרטי גישה לגיטימיים ובכלי גישה מרחוק לאחר החדירה. יש להבחין בין התקנת הרכיב לבין הפעילות שבוצעה בהמשך בכל יעד.[2]
השפעה עסקית ועלויות
כל סכום מוצג עם סוג ההוצאה והתקופה שלו. סיוע מימוני, נכסים שנגנבו ודרישת כופר אינם בהכרח עלות בפועל.
הוצאות הקשורות לאירוע ברבעון זה. החברה דיווחה גם על 10.2 מיליון דולר של החזרי ביטוח צפויים.[5]
אותן הוצאות לאחר הקיזוז המדווח. אין לחבר ברוטו ונטו כאילו היו שתי עלויות נפרדות.[5]
לפי הדוח, ההסדר נועד לתביעת בעלי מניות והיה כפוף לאישור סופי. החברה צפתה כיסוי ביטוחי, והוא אינו קנס רגולטורי.[6]
ממצאי החוקרים הצביעו על פגיעה בכמה מדינות וסקטורים. אין בתיק סכום כולל מאומת לנזקי כל הנפגעים.[2]
התוקפים וטענות האחריות
הייחוס הרשמי קושר את הפעילות ל-SVR הרוסי. פרופיל APT29 כולל שמות מעקב שנקשרו לקמפיין, ובהם NOBELIUM ו-UNC2452.[4]
לפרופיל במאגר התוקפיםלקחים למנהלים ולאנשי אבטחה
להגן על תהליך הבנייה וההפצה
יש לבחון הרשאות, שינויים ותוצרי בנייה, ולא להסתפק בבדיקת חתימה דיגיטלית על העדכון שהגיע ללקוח.
לצמצם את הכוח של מערכות ניהול
כלי ניטור וניהול מקבלים לעיתים גישה רחבה. הפרדת רשתות, הרשאות מינימליות וניטור תקשורת יוצאת מסייעים להגביל פגיעה בספק כזה.
לחקור גם תקופה שלפני גילוי המתקפה
שמירת יומנים ויכולת לבדוק לאחור חיוניות במתקפה שבה ההפצה והשהייה ברשת קדמו בחודשים לפרסום הפומבי.
לתעד החלטות ודיווחים לאורך זמן
תיעוד מדויק מסייע לתגובה, לדיווח למשקיעים וללמידה. יש להבחין בין טענות בהליך משפטי לבין החלטותיו ותוצאותיו.
מה עדיין אינו ידוע
- הערכת הלקוחות שהתקינו עדכון נגוע אינה מניין מאומת של כל הארגונים שמהם נגנב מידע.
- סכומי הרבעון הראשון והסדר המשקיעים אינם עלות מצטברת של כל שנות האירוע, והשלכותיו אצל לקוחות אינן כלולות בהם.
הסיקור בחדשות סייבר
מקורות, מחקרים ותחקירים
המספרים בגוף התיק מפנים למקורות שלהלן. לצד כל מקור מופיע מועד פרסומו; מועד בדיקת התיק מצוין בראש העמוד.
- 1
- 2מחקר וחקירה13.12.2020מחקר SUNBURST: עדכונים נגועים ופעילות לאחר החדירה
FireEye / Mandiant / Google Cloud
- 3
- 4
- 5
- 6
- 7
- 8
