In Nederland is tot nog toe geen daadwerkelijk misbruik geconstateerd van kwetsbare versies van SolarWinds Orion. Binnen de rijksoverheid en bij vitale organisaties zijn wel edities van deze software aangetroffen met een trojan waarmee kwaadwillenden systemen kunnen binnendringen. Maar aanwijzingen ontbreken dat hackers dat ook echt hebben gedaan.
Dit blijkt uit een onderzoek dat internetwaakhond NCSC (Nationaal Cyber Security Centrum) heeft gedaan naar de gevolgen van de SolarWinds-hack. Er zijn op dit moment bij het NCSC ook geen meldingen of aanwijzingen van misbruik bij andere Nederlandse organisaties.
Binnen de overheid en de vitale digitale infrastructuur hebben de organisaties met een kwetsbare versie van SolarWinds Orion, deze gepatcht. Ook hebben ze vervolgonderzoek gedaan naar eventueel misbruik. In hoeverre organisaties buiten de rijksoverheid en vitale sectoren de adviezen van het NCSC hebben opgevolgd, valt buiten het zicht van de waakhond. Overigens bleek onlangs dat vooral gemeenten en kleinere bedrijven laks zijn met het nemen van maatregelen.
Russen
Over de aard van de aanvallers werd vanmorgen meer bekend. De malware waarmee de hackers zijn binnengekomen, vertoont een opvallende gelijkenis met spionage-tools die voorheen zijn gebruikt door vermoedelijk Russische hackers. Volgens cybersecurity-leverancier Kaspersky (hoofdkantoor in Moskou) lijkt de ‘backdoor’ die bij SolarWinds Orion is aangetroffen, heel erg op tools van de hackersgroep Turla. Volgens veiligheidsdiensten in Estland opereert Turla onder de regie van de Russische geheime dienst FSB, die een voortzetting is van de beruchte KGB.
Kaspersky’s ontdekking staaft de Amerikaanse beweringen dat Russische staatshackers achter de grootscheepse hack van de Amerikaanse overheid zitten. Het Kremlin heeft deze beschuldigingen meermalen weersproken. De FSB onthoudt zich van commentaar. Volgens de Roemeen Costin Raiu, hoofd van Kaspersky’s afdeling voor onderzoek en analyse, zijn er drie frappante overeenkomsten tussen de backdoor in SolarWinds en Turla’s hacking tool Kazuar. Zo is de manier waarop de hackers zich verborgen weten te houden, dezelfde. Ook gelijk is de wijze waarop de hackers hun slachtoffers identificeren. Ook is dezelfde formule gebruikt om de periodes te berekenen gedurende welke de virussen ‘slapen’. Dat voorkomt ontdekking.
In Amerika zijn vele tientallen overheidsorganisaties doelwit van vermoedelijk Russische cyberspionnen geweest. Vlak voor het weekeinde werd bekend dat de aanvallers in de mailsystemen van het Amerikaanse ministerie van Justitie konden meekijken.
Zoals we uit de VS al weten zijn deze backdoors uitermate moeilijk te herkennen, zowel qua installatie als qua gebruik.
Voor herkenning zijn een rigide testproces tijdens systeemontwikkeling, c.q. applicatie-systeemmonitoring vereist.
Twee zaken die in Nederland weinig prioriteit krijgen.
Dat NCSC geen meldingen of aanwijzingen van misbruik bij Nederlandse organisaties heeft hoeft dan ook geen verbazing te wekken.