SolarWinds Orion のサプライチェーン侵害

何があったか

入口

攻撃者は資格情報を盗んで SolarWinds の開発環境と社内の仕組みに入り込んだ。最初に入った経路は特定されておらず、会社は第三者の製品の未知の脆弱性、パスワードスプレーなどの総当たり、標的型のフィッシングなどのソーシャルエンジニアリングの3つを有力な候補に挙げている

決め手の失敗

攻撃者が資格情報を盗んで長く社内に居続けたのに気づけず、自動ビルド環境の中でビルドに混ぜられたコードを見つけられなかった。混入した部品は正規の署名の証明書で署名されて顧客に届いた。混入の期間に関係があったとみられる顧客のサポート事案が2件あったが、当時は原因を突き止められなかった

被害

混入した版を落とした顧客は最大1万8,000。会社は実際に侵害された顧客を100未満と推定した。米政府は世界の1万6,000を超えるコンピューターシステムを偵察し、妨害しうる状態になったとし、被害には米国の政府機関と民間の組織が含まれる。SolarWinds 自身もソースコードとみられるファイルや社員のメールに手を付けられた

攻撃の流れ

1. 入口攻撃者は資格情報を盗み、SolarWinds の開発環境と社内の仕組みに持続的に入れるようになった。会社が見つけた最も早い不審な動きは2019年9月で、入った経路は特定されていない
2. 偵察2019年10月の試しより少なくとも9か月前から、開発環境や社内のメールの環境で調べを続けた。ソースコードとみられるファイルや顧客向けの窓口のデータを含みうるファイルを作って動かし、一部の社員のメールにも入った
3. 混入2019年10月の版でビルドにコードを混ぜられるかを試したあと、2020年2月20日から自動ビルド環境で Orion のビルドだけに不正なコードを混ぜた。ソースコードの保管場所は書き換えず、混ぜた部品は正規の署名の証明書で署名された
4. 広がり混入した版は2020年3月から6月に正規の更新として出された。Orion は多くの高い権限のアカウントを使うため、入り込まれると他の仕組みへの足場になる。一部の組織では、攻撃者が Active Directory の高い権限を得て SAML の署名証明書を奪い、正規に見える認証のトークンを作った
5. 持ち出し作ったトークンを使い、メールなどのクラウドのサービスから許された API を通じて情報を集めた。IT や事故対応の担当者を含む重要な人のメールの口座も狙われた。混入した版を入れた組織のすべてがこの先の攻撃を受けたわけではない

数字で見る

• 最大1万8,000 混入した版を落とした顧客 (脆弱だった可能性)[1] 該当する版のダウンロードの記録から数えた数
• 100未満 実際に侵害された顧客 (会社の推定)[1] DNS のデータの標本から推定した
• 1万6,000を超える 偵察や妨害ができる状態になったコンピューターシステム[6] 米ホワイトハウスの発表
• 少なくとも9か月 2019年10月の試しの前から続いた社内への持続的なアクセス[1]
• 3つ 混入が確かめられた Orion の版[3] 2019.4 HF 5、2020.2 (修正前)、2020.2 HF 1
• 70を超える 混入が見つからなかった Orion 以外の製品とツール[1]

気づいたきっかけ

会社は2020年12月12日に攻撃を知らされたと書いている。それまでに、混入の期間に関係があったとみられる顧客のサポート事案が2件あり、1件目は顧客と外部のセキュリティ会社2社と調べたが、根本の原因を突き止められなかった。11月の2件目でも混入に気づけなかった

対応と復旧

会社は顧客に知らせ、該当する版を直した版を出し、自社の負担で外部の支援を付けて顧客の更新を手伝った。CrowdStrike と KPMG と組んで原因を調べ、ビルド環境に不正なコードを混ぜた仕組みを見つけて解析した。2021年3月8日に該当する版の署名に使った証明書を失効させ、新しい証明書で署名し直した版を出した。CISA は2020年12月13日の緊急指令で、連邦機関に該当する版を直ちに切り離すか電源を落とし、Orion を入れた機器の外への通信を止め、攻撃者のアカウントを消し、Orion が使った資格情報を変えるよう命じた

組織が認めた原因と、決めた対策

自分のサービスで確かめること

• 自社のビルドの仕組みに誰が入れて、出来上がった物が元のソースコードから作られたことを別の手段で確かめているか
• 署名の鍵がビルドの環境から切り離されて守られ、失効させる手順が決まっているか
• 監視や管理のソフトに与えた権限と、そのソフトが外に出す通信を一覧にし、要らない物を絞っているか
• 認証のトークンを作る署名証明書や連携の設定が変えられたとき、気づける記録と見張りがあるか
• 取り込んでいる外部の製品の更新に問題が出たとき、切り離して入れ直す手順を決めているか

関わる攻撃とレッスン

時系列

1. 2019年
2. 9月 侵入 会社の調べで見つかった最も早い社内の不審な動き[2]
3. 10月 侵入 ビルドにコードを混ぜられるかを試す変更が Orion の版に入った[2]
4. 2020年
5. 2月20日 侵入 不正なコードを Orion のビルドに混ぜ始めた[2]
6. 3月 侵入 混入した版が正規の更新として出始めた (6月まで)。CISA は少なくともこの月から侵害が始まっていたとした[5]
7. 6月 侵入 攻撃者が不正なコードを SolarWinds の環境から消した[2]
8. 12月12日 発覚 SolarWinds が攻撃を知らされた[2]
9. 12月13日 対応 CISA が緊急指令 ED 21-01 を出し、連邦機関に該当する版の Orion を直ちに切り離すか電源を落とすよう命じた[4]
10. 12月17日 公表 CISA が注意喚起 AA20-352A を出した[5]
11. 2021年
12. 1月11日 公表 SolarWinds がビルドに不正なコードを混ぜた仕組みを見つけたと公表した[2]
13. 3月8日 対応 該当する版の署名に使った証明書を失効させた[3]
14. 4月15日 公表 米政府がロシア対外情報庁 (SVR) を実行者として名指しした。財務省は SVR の活動を支えた企業などに制裁を科した[6]
15. 5月7日 公表 SolarWinds が調査の結果と再発防止策を公表し、侵害された顧客を100未満と推定した[1]

攻撃した側について

公的機関が名指しした攻撃者 ロシア対外情報庁 (SVR)

2021年4月15日、米ホワイトハウスはロシア対外情報庁 (SVR、APT 29、Cozy Bear、The Dukes とも呼ばれる) を実行者として正式に名指しし、米情報機関は高い確度で評価しているとした。同じ日に米財務省も SVR が Orion を悪用したとし、CISA は緊急指令と注意喚起にこの帰属を書き足した。SolarWinds は2021年1月の時点で、攻撃者の身元を自社では確かめていないと書いている

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

1. An Investigative Update of the Cyberattack SolarWinds、2021年5月7日、被害組織の資料
2. New Findings From Our Investigation of SUNBURST SolarWinds、2021年1月11日、被害組織の資料
3. SolarWinds Security Advisory SolarWinds、2021年4月6日、被害組織の資料
4. ED 21-01 Mitigate SolarWinds Orion Code Compromise CISA、2020年12月13日、公的機関の資料
5. AA20-352A Advanced Persistent Threat Compromise of Government Agencies, Critical Infrastructure, and Private Sector Organizations CISA、2020年12月17日、公的機関の資料
6. FACT SHEET Imposing Costs for Harmful Foreign Activities by the Russian Government The White House、2021年4月15日、公的機関の資料
7. Treasury Sanctions Russia with Sweeping New Sanctions Authority U.S. Department of the Treasury、2021年4月15日、公的機関の資料