Взлом агентства по ядерной безопасности США в ходе недавней хакерской атаки на Microsoft

Национальное управление по ядерной безопасности (NNSA), которое осуществляет надзор за проектированием и обслуживанием ядерного арсенала Америки, было среди тех, чьи системы были взломаны в рамках недавней хакерской атаки на Microsoft SharePoint.

Анонимный источник из NNSA заявил, что в результате взлома NNSA, по-видимому, не было похищено никаких засекреченных или конфиденциальных данных. Когда его спросили о взломе, NNSA направила все запросы в Министерство энергетики, которое курирует управление в рамках своих более широких обязанностей.

"В пятницу, 18 июля, эксплуатация уязвимости нулевого дня в Microsoft SharePoint начала затрагивать Министерство энергетики", — сказал представитель агентства. 

"Воздействие на министерство было минимальным из-за широкого использования облачных сервисов Microsoft M365 и эффективных систем кибербезопасности. Было затронуто небольшое количество систем. Все затронутые системы восстанавливаются."

NNSA выполняет широкий спектр задач, выходящих за рамки управления ядерным оружием. Она строит ядерные реакторы для подводного флота ВМС, реагирует на чрезвычайные ситуации внутри страны и за рубежом, помогает безопасно транспортировать ядерное оружие по территории США и поддерживает усилия по борьбе с терроризмом.

Это был не первый случай, когда хакеры проникали в сети, связанные с NNSA, через сторонние инструменты. В 2020 году агентство стало целью атаки на SolarWinds Corp., программное обеспечение которой используется для управления сетями. В то время Министерство энергетики заявило, что вредоносное ПО «было изолировано только в бизнес-сетях».

Microsoft возложила вину на хакеров, спонсируемых государством, из Китая

Взлом использовал уязвимости платформы SharePoint и затронул правительства и бизнес по всему миру. В некоторых случаях злоумышленники похищали информацию для входа, такую как имена пользователей и пароли, а также токены и хэш-коды, согласно более раннему сообщению Bloomberg.

Помимо Министерства энергетики, этот взлом распространился на системы национальных правительств на Ближнем Востоке и в ЕС, а также на несколько агентств США, включая Министерство образования, Генеральную ассамблею штата Род-Айленд и Департамент доходов штата Флорида.

Расследователи говорят, что полный масштаб вторжения все еще определяется. Уязвимости программного обеспечения затрагивают организации, которые используют SharePoint локально, а не через облачный сервис Microsoft, что делает локальные установки особенно уязвимыми.

Во вторник в публикации в блоге Microsoft назвала две хакерские группы, связанные с Китаем. В их число входят Violet Typhoon и Linen Typhoon. В публикации также упоминалась третья группа под названием Storm-2603, использующая аналогичные тактики для проникновения в системы.

В понедельник Чарльз Кармакал, главный технологический директор Mandiant, компании по кибербезопасности, принадлежащей Google, написал в LinkedIn: «Мы оцениваем, что по крайней мере один из участников, ответственных за раннюю эксплуатацию, является угрозой, связанной с Китаем».

Агентство по кибербезопасности и инфраструктурной безопасности США (CISA) подтвердило в воскресенье, что оно «осведомлено об активной эксплуатации» уязвимости SharePoint. Microsoft ответила выпуском патчей для локальных версий SharePoint, а затем выпустила третье исправление в понедельник.

SharePoint является ключевой частью пакета Office от Microsoft. Он служит центром сотрудничества, позволяя сотрудникам внутри организаций получать доступ к общим файлам и документам через центральный портал.

Microsoft ранее подвергалась атакам китайских хакерских групп

В прошлом году генеральный директор Microsoft Сатья Наделла объявил кибербезопасность главным приоритетом для компании после того, как правительственный отчет раскритиковал реакцию компании на китайский взлом учетных записей электронной почты должностных лиц. 

Ранее в этом месяце Microsoft сообщила клиентам, что больше не будет полагаться на китайских инженеров для облачных услуг, предоставляемых Пентагону, после сообщений в СМИ о том, что эта настройка могла позволить атаки на системы обороны США.

В 2021 году другая группа, связанная с Китаем и называемая Hafnium, эксплуатировала отдельную уязвимость в программном обеспечении Microsoft Exchange Server, чтобы проникнуть в сети организаций по всему миру.

В заявлении, отправленном репортерам по электронной почте, посольство Китая в Вашингтоне заявило, что Пекин выступает против «всех форм кибератак» и предупредил против «клеветы на других без-solid evidence» (без твердых доказательств).

Исследователи безопасности впервые обнаружили уязвимость в мае во время хакерского конкурса в Берлине, организованного Trend Micro. Мероприятие предлагало денежные призы тем, кто сможет найти неопубликованные ошибки в программном обеспечении. В конкурсе была предусмотрена награда в размере 100 000 долларов за эксплойты нулевого дня, нацеленные на SharePoint, что подчеркивает, насколько высоки ставки за эти скрытые уязвимости.