Aktualizacja zabezpieczeń Microsoftu wydana w tym miesiącu nie zdołała całkowicie naprawić krytycznej luki w serwerowym oprogramowaniu SharePoint, co umożliwiło rozpoczęcie szeroko zakrojonej kampanii cyberszpiegowskiej — wynika z chronologii zdarzeń, z którą zapoznała się agencja Reuters.
We wtorek rzecznik Microsoftu potwierdził, że początkowa łatka, która miała załatać lukę odkrytą podczas majowego konkursu hakerskiego, nie zadziałała. Firma wydała już dodatkowe poprawki, które według niej usunęły problem.
Nie wiadomo jeszcze, kto dokładnie stoi za atakiem, który w weekend objął około 100 organizacji. Oczekuje się, że skala działań złośliwych będzie rosła, ponieważ mogą dołączyć inne grupy hakerskie.
Microsoft podał na swoim blogu, że w atakach uczestniczą co najmniej dwie chińskie grupy hakerskie — Linen Typhoon i Violet Typhoon — oraz trzecia, również z Chin.
Microsoft i Google (oddział Alphabet) twierdzą, że za pierwszą falą ataków stoją prawdopodobnie hakerzy powiązani z Chinami. Chiny tradycyjnie zaprzeczają jakimkolwiek związkom z cyberatakami.
Chińska ambasada w Waszyngtonie odpowiedziała agencji Reuters, że Chiny sprzeciwiają się wszelkim formom cyberataków i potępiają "bezpodstawne oskarżenia".
Lukę, która umożliwiła te ataki, po raz pierwszy odkryto w maju podczas konkursu hakerskiego w Berlinie organizowanego przez firmę Trend Micro. Nagrodą było 100 000 dolarów za exploity typu zero-day – wcześniej nieznane luki – w oprogramowaniu takim jak SharePoint.
Wśród potencjalnych ofiar znalazła się Narodowa Administracja Bezpieczeństwa Jądrowego USA, odpowiedzialna za arsenał nuklearny kraju. Według Bloomberga, jej dane również zostały naruszone, choć nie stwierdzono wycieku tajnych informacji.
Badacz z Viettel, kontrolowanej przez wojsko firmy telekomunikacyjnej z Wietnamu, zidentyfikował lukę, nazwał ją ToolShell i zademonstrował jej działanie. Otrzymał za to 100 000 dolarów w ramach inicjatywy Trend Micro "Zero Day".
Trend Micro podkreślił, że to dostawcy oprogramowania są odpowiedzialni za terminowe poprawki. "Łatki czasami nie działają. Zdarzało się to już wcześniej z SharePointem" — podano w oświadczeniu.
W aktualizacji z 8 lipca Microsoft określił lukę jako krytyczną i opublikował łatki. Jednak w ciągu około 10 dni firmy cyberbezpieczeństwa zaobserwowały falę złośliwej aktywności wymierzonej w te same serwery SharePoint.
Brytyjska firma Sophos poinformowała w poniedziałek, że cyberprzestępcy opracowali exploity, które omijają poprawki Microsoftu.
Potencjalna liczba podatnych serwerów ToolShell pozostaje bardzo wysoka. Według wyszukiwarki Shodan hakerzy mogli potencjalnie skompromitować ponad 8000 serwerów.
Znajdują się one w sieciach firm audytorskich, banków, placówek medycznych, zakładów przemysłowych, amerykańskich agencji rządowych i organizacji międzynarodowych.
Fundacja Shadowserver, która skanuje internet pod kątem luk, naliczyła ponad 9000 potencjalnie zagrożonych serwerów, uznając to za szacunkową liczbę minimalną. Najwięcej ofiar znajduje się w USA i Niemczech.
Niemieckie Federalne Biuro ds. Bezpieczeństwa Informacji (BSI) oświadczyło we wtorek, że nie wykryło naruszeń serwerów SharePoint w rządowych sieciach, choć niektóre z nich były podatne na atak ToolShell.