De aanwijzingen worden sterker dat Russische staatshackers achter de SolarWinds-kraak zitten als gevolg waarvan ze acht maanden lang in 250 Amerikaanse netwerken van overheden en bedrijven konden rondsnuffelen. De malware waarmee de hackers zijn binnengekomen, vertoont namelijk een opvallende gelijkenis met spionagetools die voorheen zijn gebruikt door vermoedelijk Russische hackers.
Volgens cybersecurityleverancier Kaspersky (hoofdkantoor in Moskou) lijkt de ‘backdoor’ die bij SolarWinds Orion is aangetroffen, erg op tools van de hackersgroep Turla. Volgens veiligheidsdiensten in Estland opereert Turla onder de regie van de Russische geheime dienst FSB, een voortzetting van de beruchte KGB.
Kaspersky’s ontdekking staaft de Amerikaanse beweringen dat Russische staatshackers achter de grootscheepse hack van de Amerikaanse overheid zitten. Het Kremlin heeft deze beschuldigingen meermalen weersproken. De FSB onthoudt zich van commentaar. Volgens de Roemeen Costin Raiu, hoofd van Kaspersky’s afdeling voor onderzoek en analyse, zijn er drie frappante overeenkomsten tussen de backdoor in SolarWinds en Turla’s hacking tool Kazuar. Zo is de manier waarop de hackers zich verborgen weten te houden, dezelfde. Ook gelijk is de wijze waarop de hackers hun slachtoffers identificeren. Ook is dezelfde formule gebruikt om de periodes te berekenen gedurende welke de virussen ‘slapen’. Dat voorkomt ontdekking.
In Amerika zijn vele tientallen overheidsorganisaties doelwit van vermoedelijk Russische cyberspionnen geweest. Vlak voor het weekeinde werd bekend dat de aanvallers in de mailsystemen van het Amerikaanse ministerie van Justitie konden meekijken.
Vitale sectoren
Ook in België en Nederland zijn kwetsbare versies van de monitoring-software SolarWinds Orion gebruikt. In Nederland is tot nog toe geen daadwerkelijk misbruik geconstateerd van kwetsbare versies van SolarWinds Orion. Binnen de rijksoverheid en bij vitale organisaties zijn wel edities van deze software aangetroffen met een trojan waarmee kwaadwillenden systemen kunnen binnendringen. Maar aanwijzingen ontbreken dat hackers dat ook echt hebben gedaan, aldus de Nederlandse internetwaakhond NCSC. Er zijn op dit moment bij het NCSC ook geen meldingen of aanwijzingen van misbruik bij andere Nederlandse organisaties.
Binnen de overheid en de vitale digitale infrastructuur hebben de organisaties met een kwetsbare versie van Solarwinds Orion, deze gepatcht. Ook hebben ze vervolgonderzoek gedaan naar eventueel misbruik. In hoeverre organisaties buiten de rijksoverheid en vitale sectoren de adviezen van het NCSC hebben opgevolgd, valt buiten het zicht van het NCSC. Overigens bleek onlangs dat vooral gemeenten en kleinere bedrijven laks zijn met het nemen van maatregelen.
