Частичные списки организаций, зараженных вредоносным ПО Sunburst, опубликованы в Интернете

Несколько исследователей безопасности и исследовательские группы опубликовали за выходные списки от 100 до 280 организаций, которые установили троянизированную версию платформы SolarWinds Orion и заразили свои внутренние системы вредоносным ПО Sunburst .

Список включает названия технологических компаний, местных органов власти, университетов, больниц, банков и поставщиков телекоммуникационных услуг.

Крупнейшие имена в этом списке включают Cisco, SAP, Intel, Cox Communications, Deloitte, Nvidia, Fujitsu, Belkin, Amerisafe, Lukoil, Rakuten, Check Point, Optimizely, Digital Reach и Digital Sense. .

MediaTek, одна из крупнейших полупроводниковых компаний в мире, также, как полагают, пострадала; хотя исследователи безопасности еще не на 100% включили его в свои списки.

Раскрытие загадок субдомена Sunburst

Эти списки составляли исследователи безопасности путем реверс-инжиниринга вредоносного ПО Sunburst (также известного как Solorigate).

Для читателей ZDNet, которые впервые узнают о вредоносной программе Sunburst, эта вредоносная программа была внедрена в обновления для приложения SolarWinds Orion, выпущенные в период с марта по июнь 2020 года.

В заминированных обновлениях было установлено вредоносное ПО Sunburst глубоко внутри внутренних сетей многих компаний и государственных организаций, которые полагались на приложение Orion для мониторинга и ведения инвентаризации внутренних ИТ-систем.

Согласно подробным отчетам, опубликованным на прошлой неделе Microsoft, FireEye, McAfee, Symantec, Kaspersky и US Cybersecurity and Infrastructure Security Agency (CISA), в зараженных системах вредоносная программа собирала информацию о компании-жертве. сети, подождите от 12 до 14 дней, а затем отправьте данные на удаленный сервер управления и контроля (C&C).

Хакеры, которые, как считается, являются группой, спонсируемой российским государством, затем анализировали полученные данные и наращивали атаки только на те сети, которые представляли интерес для их целей сбора разведданных.

На прошлой неделе компания SolarWinds признала факт взлома и сообщила, что на основе внутренней телеметрии почти 18 000 из 300 000 ее клиентов загрузили версии платформы Orion, содержащие вредоносное ПО Sunburst.

Первоначально предполагалось, что только SolarWinds сможет идентифицировать и уведомить все затронутые организации. Однако по мере того, как исследователи безопасности продолжали анализировать внутреннюю работу Sunburst, они также обнаружили некоторые причуды в работе вредоносной программы, а именно в том, как вредоносная программа пингует свой C&C сервер.

Согласно исследованию, опубликованному на прошлой неделе, Sunburst отправлял собранные данные из зараженной сети на URL-адрес C&C сервера, уникальный для каждой жертвы.

Этот уникальный URL-адрес был поддоменом для avsvmcloud [.] com и состоял из четырех частей, первая из которых представляла собой строку произвольного вида. Но исследователи безопасности заявили, что эта строка на самом деле не уникальна, а содержит закодированное имя домена локальной сети жертвы.

С прошлой недели несколько фирм по безопасности и независимых исследователей просматривали исторический веб-трафик и данные пассивного DNS, чтобы собрать информацию о трафике, идущем в домен avsvmcloud [.] com, взломать поддомены, а затем отслеживают компании, которые установили троянизированное приложение SolarWinds Orion и заставили вредоносную программу Sunburst передавать из своих сетей обратно на сервер злоумышленников (теперь он затонул благодаря Microsoft и FireEye).

Растущий список жертв первого и второго этапов

Кибербезопасные фирмы TrueSec и Prevasio, исследователь безопасности Деван Чоудхури и китайская охранная фирма QiAnXin являются одними из тех, кто к настоящему времени опубликовал списки Организации или инструменты, зараженные Sunburst, для декодирования поддоменов avsvmcloud [.] com.

Такие компании, как Cisco и Intel, официально подтвердили, что заразились, в интервью журналистам в минувшие выходные. Обе компании заявили, что не нашли доказательств того, что хакеры расширили доступ, чтобы доставить полезную нагрузку второго уровня в свои системы.

VMWare и Microsoft, чьи имена не фигурировали в этих публичных списках, также подтвердили, что они установили троянизированные обновления Orion в своих внутренних сетях, но также указали, что они также не обнаружили никаких доказательств эскалации атак со стороны злоумышленников.

Однако хакеры усилили свои атаки на сети некоторых из своих целей. В интервью в пятницу генеральный директор FireEye Кевин Мандиа, чья компания обнаружила взлом SolarWinds при расследовании взлома своих внутренних систем, сказал, что хакеры, несмотря на заражение почти 18000 сетей, увеличили доступ только к примерно 50 целям, исходя из видимости FireEye.

В отдельном отчете, также опубликованном в пятницу, Microsoft также сообщила, что выявила 40 своих клиентов, которые установили зараженные приложения Orion и к которым злоумышленники расширили доступ.

«Эскалация» обычно происходила, когда командный сервер avsvmcloud [.] com отвечал зараженной компании очень специфическим ответом DNS, который содержал специальное поле CNAME.

Это специальное поле DNS CNAME содержало местоположение второго C&C сервера, с которого вредоносная программа Sunburst могла получать дополнительные команды и иногда загружать другие вредоносные программы.

В настоящее время единственной публично известной компанией, к которой хакеры расширили доступ, является FireEye, чья реакция на взлом помогла раскрыть весь взлом SolarWinds.

Различие между ними (простое заражение Sunburst и эскалация) имеет решающее значение для реагирующих на инциденты. В первом случае им может потребоваться только удалить вредоносное ПО Sunburst, а во втором им может потребоваться просмотреть журналы, чтобы определить, к каким внутренним системам хакеры расширили доступ и какие данные были украдены из их сетей.

Несколько исследователей безопасности сообщили ZDNet сегодня, что большая часть сообщества кибербезопасности сейчас работает с сетями доставки контента, поставщиками интернет-услуг и другими интернет-компаниями для сбора пассивных данных DNS и отслеживания трафика, идущего в сеть и из нее. avsvmcloud [.] com для выявления других жертв, к которым злоумышленники увеличили доступ.

Ниже представлена ​​таблица, составленная охранной фирмой Truesec с декодированными внутренними доменными именами некоторых из жертв SolarWinds.

]

[1 9459043] Город Барри

]

]

]

[1 9459043] casino.prv

[1 9459043] N/A

Расшифрованное внутреннее имя	Возможная организация (может быть неточным) *	Ответный адрес Семья	Команда	Впервые замечен
mnh.rg-law.ac.il	Колледж права и бизнеса, Израиль	NetBios	HTTP Backdoor	2020-05-26
ad001.mtk.lo	Mediatek	NetBios	HTTP Backdoor	2020-08-26
Aeria		NetBios	HTTP Backdoor	2020-06-26
Америка		NetBios	HTTP Backdoor	2020-08-02
ank.com	Ankcom Communications	NetBios	HTTP Backdoor	2020-06-06
azlcyy		NetBios	HTTP Backdoor	2020-08-07
banccentral.com	BancCentral Financial Services Corp.	NetBios	HTTP Backdoor	2020-07-03
barrie.ca	NetBios	HTTP Backdoor	2020-05-13
BCC.l		NetBios	HTTP Backdoor	2020-08-22
bhq.lan		NetBios	HTTP Backdoor	2020-08-18
cds.capilanou.	Университет Капилано	NetBios	HTTP Backdoor	2020-08-27
Centr		NetBios	HTTP Backdoor	2020-06-24
chc.dom		NetBios	HTTP Backdoor	2020-08-04
christieclinic.	Christie Clinic Telehealth	NetBios	HTTP Backdoor	2020-04-22
CIMBM		NetBios	HTTP Backdoor	2020-09-25
CIRCU		NetBios	HTTP Backdoor	2020-05-30
CONSO		NetBios	HTTP Backdoor	2020-06-17
corp.ptci.com	Pioneer Telephone Получатели стипендий	NetBios	HTTP Bac kdoor	2020-06-19
corp.stingraydi	Stingray (СМИ и развлечения)	NetBios	HTTP Backdoor	2020-06-10
corp.stratusnet	Stratus Networks	NetBios	HTTP Backdoor	2020-04-28
cosgroves.local	Cosgroves (Строительные услуги консультации)	NetBios	HTTP Backdoor	2020-08-25
COTES	Cotes (Управление влажностью)	NetBios	HTTP Backdoor	2020-07-25
csnt.princegeor	Город принца Джорджа	NetBios	HTTP Backdoor	2020-09-18
cys.local	CYS Group (Маркетинговая аналитика)	NetBios	HTTP Backdoor	2020-07-10
digitalsense.co	Digital Sense (облачные службы)	NetBios	HTTP Бэкдор	2020-06-24
ehtuh-		NetBios	HTTP Backdoor	2020-05-01
escap.org		NetBios	HTTP Backdoor	2020-07-10
f.gnam		NetBios	HTTP Backdoor	2020-04-04
fhc.local		NetBios	HTTP Backdoor	2020-07-06
fidelitycomm.lo	Fidelity Communications (ISP)	NetBios	HTTP Backdoor	2020-06-02
fisherbartoninc.com	Группа Fisher Barton (Производитель лезвий)	NetBios	HTTP Backdoor	2020-05-15
fmtn.ad	Город Фармингтон	NetBios	HTTP Backdoor	2020-07-21
FWO.I		NetBios	HTTP Backdoor	2020-08-05
ggsg-us.cisco	Cisco GGSG	NetBios	HTTP Backdoor	2020-06-24
ghsmain1.ggh.g		NetBios	HTTP Backdoor	2020-06-09
gxw	[1 9459039]	NetBios	HTTP Backdoor	2020-07-07
htwanmgmt.local		NetBios	HTTP Backdoor	2020-07-22
ieb.go.id		NetBios	HTTP Backdoor	2020-06-12
int.ncahs.net		NetBios	HTTP Backdoor	2020-09-23
internal.jtl.c		NetBios	HTTP Backdoor	2020-05-19
ironform.com	Ironform (изготовление металла)	NetBios	HTTP Backdoor	2020-06-19
isi		NetBios	HTTP Backdoor	2020-07-06
itps.uk.net	Общество предотвращения инфекций (IPS)	NetBios	HTTP Backdoor	2020-08-11
jxxyx.		NetBios	HTTP Backdoor	2020-06-26
kcpl.com	Kansas City Power and Light Company	NetBios	HTTP Backdoor	2020-07-07
keyano.local	Keyano College	NetBios	HTTP Backdoor	2020-06-03
khi0kl		NetBios	HTTP Backdoor	2020-08-26
lhc_2f		NetBios	HTTP Backdoor	2020-04-18
lufkintexas.net	Луфкин (город в Техасе)	NetBios	HTTP Backdoor	07.07.2020
magnoliaisd.loc	Магнолия Независимый Школьный округ	NetBios	HTTP Backdoor	2020-06-01
MOC.l		NetBios	HTTP Backdoor	2020-04-30
moncton.loc	Город Монктон	NetBios	HTTP Backdoor	2020-08-25
монтировать sinai.hosp	Больница на горе Синай	NetBios	HTTP Backdoor	2020-07-02
netdecisions.lo	Netdecisions (ИТ-услуги)	NetBios	HTTP Backdoor	2020-10-04
newdirections.k		NetBios	HTTP Backdoor	2020-04-21
nswhealth.net	NSW Health	NetBios	HTTP Backdoor	2020-06-12
] nzi_9p		NetBios	HTTP Backdoor	2020-08-04
city.kingston.on.ca	Город Кингстон, Онтарио, Канада	NetBios	HTTP Backdoor	2020-06-15
dufferincounty.on.ca	Округ Дафферин, Онтарио, Канада	NetBios	HTTP Backdoor	2020-07-17
osb.local		NetBios	HTTP Backdoor	2020-04-28
oslerhc.org	Система здравоохранения Уильяма Ослера	NetBios	HTTP Backdoor	2020-07-11
pageaz.gov	Город страницы	NetBios	HTTP Backdoor	2020-04-19
pcsco.com	Профессиональные компьютерные системы	NetBios	HTTP Backdoor	2020-07-23
pkgix_		NetBios	HTTP Backdoor	2020- 07-15
pqcorp.com	PQ Corporation	NetBios	HTTP Backdoor	2020-07 -02
прод.гамильтон.	Hamilton Company	NetBios	HTTP Backdoor	2020-08-19
resprod.com	Res Group (возобновляемая энергетическая компания)	NetBios	HTTP Backdoor	2020-05-06
RPM.l		NetBios	HTTP Backdoor	2020-05-28
sdch.local	Южный Дэвис Общественная больница	NetBios	HTTP Backdoor	2020-05-18
servitia.intern		NetBios	HTTP Backdoor	2020-06-16
sfsi.stearnsban	Stearns Bank	NetBios	HTTP Backdoor	2020-08-02
signaturebank.l	Банк подписей	NetBios	HTTP Backdoor	2020-06-25
sm-group.local	Группа SM (распространение)	NetBios	HTTP Backdoor	2020-07-07
te.nz	TE Connectivity (Sensor производитель )	NetBios	HTTP Backdoor	2020-05- 13
thx8xb		NetBios	HTTP Backdoor	2020-06-16
tx.org		NetBios	HTTP Backdoor	2020-07-15
usd373.org	Ньютоновские государственные школы	NetBios	HTTP Backdoor	2020-08-01
uzq		NetBios	HTTP Backdoor	2020-10-02
ville.terrebonn	Ville de Terrebonne	NetBios [1 9459044]	HTTP Backdoor	2020-08-02
wrbaustralia.ad	WR Berkley Insurance Australia	NetBios	HTTP Backdoor	2020-07-11
ykz		NetBios	HTTP Backdoor	2020-07-11
2iqzth		ImpLink	Enum процессы	2020-06-17
3if.2l	3IF (Промышленный Интернет)	ImpLink	Enum процессы	2020-08-20
airquality.org	Сакраменто Метрополитен Район управления качеством воздуха	ImpLink	Процессы перечисления	2020-08-09
ansc.gob.pe	GOB (Цифровая платформа перуанского государства)	ImpLink	Enum процессов	2020-07-25
bcofsa.com.ar	Banco de Formosa	ImpLink	Enum процессы	2020-07-13
bi.corp		ImpLink	Enum процессы	2020-12-14
bop.com.pk	Банк Пенджаба	ImpLink	Процессы перечисления	2020-09-18
camcity.local		ImpLink	Enum процессы	2020-08-07
cow.local		ImpLink	Enum процессы	2020-06-13
deniz.denizbank	DenizBank	ImpLink	Enum процессы	2020-11-14
ies.com	IES Communications (Коммуникационные технологии)	ImpLink	Перечислимые процессы	2020-06-11
Insead.org	INSEAD Business School	ImpLink	Процессы перечисления	2020-11-07
KS.LO		ImpLink	Перечислимые процессы	2020-07-10
mixonhill.com	Mixon Hill (интеллектуальные транспортные системы)	ImpLink	Процессы перечисления	2020-04-29
ni.corp.natins		ImpLink	Перечислимые процессы	2020-10-24
phabahamas.org	Управление государственных больниц, Карибский бассейн	ImpLink	Процессы перечисления	2020-11-05
rbe.sk.ca	Государственные школы Регина	ImpLink	Перечислимые процессы	2020-08-20
spsd.sk.ca	Государственные школы Саскатуна	ImpLink	Enum процессы	2020-06 -12
yorkton.cofy	Community Options for Families & Youth	ImpLink	Enum processes	2020-05-08
.sutmf		Ipx	Update config	2020-06-25
atg.local		No Match	Unknown	2020-05-11
bisco.int	Bisco International (Adhesives and tapes)	No Match	Unknown	2020-04-30
ccscurriculum.c		No Match	Unknown	2020-04-18
e-idsolutions.	IDSolutions (video conferencing)	No Match	Unknown	2020-07-16
ETC1.		No Match	Unknown	2020-08-01
gk5		No Match	Unknown	2020-07-09
grupobazar.loca		No Match	Unknown	2020-06-07
internal.hws.o		No Match	Unknown	2020-05-23
n2k		No Match	Unknown	2020-07-12
publiser.it		No Match	Unknown	2020-07-05
us.deloitte.co	Deloitte	No Match	Unknown	2020-07-08
ush.com		No Match	Unknown	2020-06-15
xijtt-		No Match	Unknown	2020-07-21
xnet.kz	X NET (IT provider in Kazakhstan)	No Match	Unknown	2020-06-09
zu0		No Match	Unknown	2020-08-13
staff.technion.ac.il		N/A	N/A	N/A
digitalreachinc.com		N/A	N/A	N/A
orient-express.com		N/A	N/A	N/A
tr.technion.ac.il		N/A	N/A	N/A
lasers.state.la.us		N/A	N/A	N/A
ABLE.		N/A	N/A	N/A
abmuh_		N/A	N/A	N/A
acmedctr.ad		N/A	N/A	N/A
ad.azarthritis.com		N/A	N/A	N/A
ad.library.ucla.edu		N/A	N/A	N/A
ad.optimizely.		N/A	N/A	N/A
admin.callidusc		N/A	N/A	N/A
aerioncorp.com		N/A	N/A	N/A
agloan.ads		N/A	N/A	N/A
ah.org		N/A	N/A	N/A
AHCCC		N/A	N/A	N/A
allegronet.co.		N/A	N/A	N/A
alm.brand.dk		N/A	N/A	N/A
amalfi.local		N/A	N/A	N/A
americas.phoeni		N/A	N/A	N/A
amr.corp.intel		N/A	N/A	N/A
apu.mn		N/A	N/A	N/A
ARYZT		N/A	N/A	N/A
b9f9hq		N/A	N/A	N/A
BE.AJ		N/A	N/A	N/A
belkin.com		N/A	N/A	N/A
bk.local		N/A	N/A	N/A
bmrn.com		N/A	N/A	N/A
bok.com		N/A	N/A	N/A
btb.az		N/A	N/A	N/A
c4e-internal.c		N/A	N/A	N/A
calsb.org		N/A	N/A	N/A
	N/A	N/A	N/A
cda.corp		N/A	N/A	N/A
central.pima.g		N/A	N/A	N/A
cfsi.local		N/A	N/A	N/A
ch.local		N/A	N/A	N/A
ci.dublin.ca.		N/A	N/A	N/A
cisco.com		N/A	N/A	N/A
corp.dvd.com		N/A	N/A	N/A
corp.sana.com		N/A	N/A	N/A
Count		N/A	N/A	N/A
COWI.		N/A	N/A	N/A
coxnet.cox.com		N/A	N/A	N/A
CRIHB		N/A	N/A	N/A
cs.haystax.loc		N/A	N/A	N/A
csa.local		N/A	N/A	N/A
csci-va.com		N/A	N/A
csqsxh		N/A	N/A	N/A
DCCAT		N/A	N/A	N/A
deltads.ent		N/A	N/A	N/A
detmir-group.r		N/A	N/A	N/A
dhhs-		N/A	N/A	N/A
dmv.state.nv.		N/A	N/A	N/A
dotcomm.org		N/A	N/A	N/A
DPCIT		N/A	N/A	N/A
dskb2x		N/A	N/A	N/A
e9.2pz		N/A	N/A	N/A
ebe.co.roanoke.va.us		N/A	N/A	N/A
ecobank.group		N/A	N/A	N/A
ecocorp.local		N/A	N/A	N/A
epl.com		N/A	N/A	N/A
fremont.lamrc.		N/A	N/A	N/A
FSAR.		N/A	N/A	N/A
ftfcu.corp		N/A	N/A	N/A
gksm.local		N/A	N/A	N/A
gloucesterva.ne		N/A	N/A	N/A
glu.com		N/A	N/A	N/A
gnb.local		N/A	N/A	N/A
gncu.local		N/A	N/A	N/A
gsf.cc		N/A	N/A	N/A
gyldendal.local		N/A	N/A	N/A
helixwater.org		N/A	N/A	N/A
hgvc.com		N/A	N/A	N/A
ia.com		N/A	N/A	N/A
inf.dc.net		N/A	N/A	N/A
ingo.kg		N/A	N/A	N/A
innout.corp		N/A	N/A	N/A
int.lukoil-international.uz		N/A	N/A	N/A
intensive.int		N/A	N/A	N/A
ions.com		N/A	N/A	N/A
its.iastate.ed		N/A	N/A	N/A
jarvis.lab		N/A	N/A	N/A
-jlowd		N/A	N/A	N/A
jn05n8		N/A	N/A	N/A
jxb3eh		N/A	N/A	N/A
k.com		N/A	N/A	N/A
LABEL		N/A	N/A	N/A
milledgeville.l		N/A	N/A	N/A
nacr.com		N/A	N/A	N/A
ncpa.loc		N/A	N/A	N/A
neophotonics.co		N/A	N/A	N/A
net.vestfor.dk		N/A	N/A	N/A
nih.if		N/A	N/A	N/A
nvidia.com		N/A	N/A	N/A
on-pot		N/A	N/A	N/A
ou0yoy		N/A	N/A	N/A
paloverde.local		N/A	N/A	N/A
pl8uw0		N/A	N/A	N/A
q9owtt		N/A	N/A	N/A
rai.com		N/A	N/A	N/A
rccf.ru		N/A	N/A	N/A
repsrv.com		N/A	N/A	N/A
ripta.com		N/A	N/A	N/A
roymerlin.com		N/A	N/A	N/A
rs.local		N/A	N/A	N/A
rst.atlantis-pak.ru		N/A	N/A	N/A
sbywx3		N/A	N/A	N/A
sc.pima.gov		N/A	N/A	N/A
scif.com		N/A	N/A	N/A
SCMRI		N/A	N/A	N/A
scroot.com		N/A	N/A	N/A
seattle.interna		N/A	N/A	N/A
securview.local		N/A	N/A	N/A
SFBAL		N/A	N/A	N/A
SF-Li		N/A	N/A	N/A
siskiyous.edu		N/A	N/A	N/A
sjhsagov.org		N/A	N/A	N/A
Smart		N/A	N/A	N/A
smes.org		N/A	N/A	N/A
sos-ad.state.nv.us		N/A	N/A	N/A
sr o.vestfor.dk		N/A	N/A	N/A
superior.local		N/A	N/A	N/A
swd.local		N/A	N/A	N/A
ta.org		N/A	N/A	N/A
taylorfarms.com		N/A	N/A	N/A
thajxq		N/A	N/A	N/A
thoughtspot.int		N/A	N/A	N/A
tsyahr		N/A	N/A	N/A
tv2.local		N/A	N/A	N/A
uis.kent.edu		N/A	N/A	N/A
uncity.dk		N/A	N/A	N/A
uont.com		N/A	N/A	N/A
viam-invenient		N/A	N/A	N/A
vms.ad.varian.com		N/A	N/A	N/A
vsp.com		N/A	N/A	N/A
WASHO		N/A	N/A	N/A
weioffice.com		N/A	N/A	N/A
wfhf1.hewlett.		N/A	N/A	N/A
woodruff-sawyer		N/A	N/A	N/A
HQ.RE-wwgi2xnl		N/A	N/A	N/A
xdxinc.net		N/A	N/A	N/A
y9k.in		N/A	N/A	N/A
zeb.i8		N/A	N/A	N/A
zippertubing.co		N/A	N/A	N/A

undefined