SolarWinds Orion software lek gaf aanvallers toegang tot bedrijven en overheden

Een achterdeur in de IT-monitoringssoftware Orion van het bedrijf SolarWinds heeft kwaadwillenden toegang gegeven tot gegevens van gebruikers. Mogelijk zijn een groot aantal bedrijven, organisaties en overheidsinstanties slachtoffer. Er is inmiddels een patch.

SolarWinds bevestigt de aanval in een verklaring aan de Amerikaanse Securities and Exchange Commission (SEC). Aanvallers zijn erin geslaagd een backdoor in te bouwen in Orion. De achterdeur was aanwezig in versies van Orion die door SolarWinds in de periode maart tot en met juni 2020 zijn uitgebracht. De backdoor zou inmiddels zijn verwijderd.

The Washington Post meldt op basis van bronnen dat de aanval het werk is van APT29, ook bekend als Cozy Bear. De aanvalsgroep wordt gekoppeld aan de Russische inlichtingendiensten en wordt onder meer verantwoordelijk gehouden voor het uitlekken van e-mailverkeer van Hillary Clinton. Rusland ontkent banden met de groep.

18.000 klanten

Slachtoffers waarvan de namen bekend zijn zijn onder meer Amerikaanse ministeries van Handel en Financiën, andere overheidsdiensten in de Verenigde Staten (VS) en beveiligingsbedrijf FireEye. SolarWinds meldt echter in zijn verklaring aan de SEC dat de update met backdoor door 'minder dan 18.000' klanten is gedownload.

Het FD meldt op basis van ingewijde dat de software in Europa minder wordt gebruikt dan in de VS, maar wel grote klanten telt. Denk hierbij aan het Europees Parlement en de Britse NHS. Ook in Nederland wordt de software verkocht.

Actie misbruik

Het Nationaal Cyber Security Centrum classificeert de backdoor als het hoogst mogelijke risico en waarschuwt voor actief misbruik. "Door een nog onbekende methode is tussen maart en juni 2020 een versie van Orion verspreid, waar een Trojan in blijkt te zitten. Het betreft de versies 2019.4 HF 5 tot en met 2020.2.1. De gemanipuleerde versies worden misbruikt door kwaadwillenden om toegang te krijgen tot zeer gerichte doelen. Welke doelen dit betreft is door SolarWinds niet publiek bekend gemaakt. Het is echter mogelijk dat de kwetsbare versies onbedoeld ook in andere infrastructuren zijn geïmplementeerd. Hiermee gecompromitteerde infrastructuren staan daarmee volledig onder controle van kwaadwillenden en deze zijn in staat om willekeurige code uit te voeren of toegang te krijgen tot gevoelige gegevens", schrijft de NCSC op zijn website in een security advisory.