Sunburst on Venäjän laajin kyberhyökkäys koskaan Yhdysvaltoihin – Kuinka Yhdysvallat ja EU vastaavat?

”The Cyber Hack is far greater in the Fake News Media than in actuality. I have been fully briefed and everything is well under control. Russia, Russia, Russia is the priority chant when anything happens because Lamestream is, for mostly financial reasons, petrified of discussing the possibility that it may be China (it may!). There could also have been a hit on our ridiculous voting machines during the election, which is now obvious that I won big, making it an even more corrupted embarrassment for the USA.” (Twitter, Donald J. Trump 19.12.2020).

Vapaasti suomennettuna:

”Kyberhakkerointi on paljon suurempi uutinen valeuutismediassa kuin todellisuudessa. Minua on pidetty täysin tilanteen tasalla ja kaikki on hyvin hallinnassa. Venäjä, Venäjä, Venäjä on ensisijainen huuto perinteisen valtamedian keskuudessa, kun jotain tapahtuu. Valtamedia on haluton keskustelemaan Kiinasta, jonka taloudelliset tarkoitusperät ovat mahdollisia (voi olla Kiina!). Kyberhakkerointi voi liittyä myös naurettaviin äänestyskoneihimme [presidentin] vaalien aikana, mikä on nyt ilmeistä ja voitinkin reippaasti kasvattaen yhä korruptoituneempaa hämmennystä Yhdysvalloissa.”

Noin lausui Yhdysvaltojen väistyvä presidentti Donald Trump, kun Venäjä teki Yhdysvaltoihin maailmanhistorian laajimman kyberhyökkäyksen, josta sai siinä sivunsa osansa myös muu maailma.

Tavoilleen uskollisena Trumpin mukaan kyseessä kyberiskun tekijänä oli siis Kiina eikä Venäjä. Trumpin mukaan myöskään venäläistä oppositiopoliitikko Aleksei Navalnyita ei myrkyttänyt Venäjä, vaan kyseessä oli joku muu nimeämätön taho.

Yhdysvallat ei yhtynyt Aleksei Navalnyin tapauksessa EU:n määräämiin Venäjä-pakotteisiin.

****

Nyt Venäjän toteuttama kyberhyökkäys on sellainen, jonka rinnalla kalpenevat Venäjän toimet neljä vuotta sitten Yhdysvaltojen presidentinvaaleissa. Vaaleissa, joissa Donald Trump vei voiton.

Venäjän vastaus maahan kohdistettuihin syytöksiin lienee ollut Trumpin mieleen.

”Обратили внимание на очередные безосновательные попытки американских СМИ обвинить Россию в хакерских атаках на органы государственной власти США. Ответственно заявляем: нападения в информационном пространстве противоречат внешнеполитическим принципам нашей страны, её национальным интересам и пониманию того, как выстраиваются отношения между государствами. Россия не проводит «наступательных» операций в виртуальной среде.” (Facebook, Посольство России в США 14.12.2020).

Vapaasti suomennettuna:

”Kiinnitimme huomiota amerikkalaisten tiedotusvälineiden toistuviin perusteettomiin yrityksiin syyttää Venäjää kyberhyökkäyksistä Yhdysvaltain viranmaisten toimielimiin. Julistamme vastuullisesti: hyökkäykset tietoavaruudessa ovat ristiriidassa maamme ulkopoliittisten periaatteiden, maan kansallisten etujen ja käsityksen kanssa ja siihen, miten valtioiden väliset suhteet rakentuvat. Venäjä ei suorita ’hyökkääviä’ operaatioita virtuaalisessa ympäristössä.”

No joo…

The New York Times -lehden sivuilla 17.12.2020 kirjoittanut presidentti Trumpin entinen kotimaan turvallisuusneuvonantaja Tom Bossert oli selvä siitä, miten suuresta tietomurrosta on kysymys ja kuka hänen mielestään on vastuussa:

”The magnitude of this ongoing attack is hard to overstate. The Russians have had access to a considerable number of important and sensitive networks for six to nine months.” (The New York Times 17.12.2020).

Vapaasti suomennettuna:

”Tämän meneillään olevan hyökkäyksen suuruutta on vaikea yliarvioida. Venäläisillä on ollut pääsy huomattavaan määrään tärkeitä ja arkaluontoisia verkkoja kuudesta yhdeksään kuukauden ajan.”

****

Sunbrust?

Mikä on Sunbrust? Sunbrust tarkoittaa vapaasti suomennettuna auringon pilkottamista täydellä paisteellaan lyhyen hetken pilvien välistä. Ehkä auringonpilkahdus olisi sopiva käännös – tai jotain sinne päin.

Kyseessä on Venäjän laajamittaisesta kyberhyökkäyksestä Yhdysvaltoihin, joka on nimetty Sunbrustiksi.

Miten Venäjä nyt sitten tunkeutui maailmanlaajuisesti Sunbrustilla tietokoneisiin ja -verkkoihin kuten esimerkiksi Yhdysvaltain energiaministeriöön kuuluvaan kansalliseen ydinturvallisuushallintoon (National Nuclear Security Administration, NNSA).

NNSA vastaa myös Yhdysvaltain ydinaseista. Yhdysvallat on kuitenkin vakuuttanut, ettei ydinaseturvallisuus ole ollut uhattuna.

Nyt joulukuussa paljastunut Venäjän kyberhyökkäys alkoi viimeistään jo viime maaliskuussa. Hyökkäyskanava oli Yhdysvalloissa Teksasissa sijaitseva SolarWinds -ohjelmistoyritys (kotisivut).

SolarWind kehittelee yritysohjelmistoja IT-verkkojen , -järjestelmien ja -infrastruktuurin hallitsemiseksi.

Solar wind on suomennettuna aurinkotuulet, ja yhtiö on siis antanut omalla nimellään nimen myös Venäjän Sunbrust-kyberhyökkäykselle.

SolarWinds on merkittävä tieto-ohjelmistotoimittaja Yhdysvaltain liittovaltiolle. Liittovaltion sisällä asiakkaita ovat mm. Yhdysvaltain kotimaan turvallisuusvirasto (Department of Homeland Security, DHS) ja sen kyberturvallisuus- ja infrastruktuurivirasto (Cybersecurity and Infrastructure Agency, CISA), Yhdysvaltain kyberkomento (US Cyber Command, USCC), puolustusministeriö (United States Department of Defense, DoD), Yhdysvaltain keskusrikospoliisi FBI (Federal Bureau of Investigation, FBI)  ja monet muut keskeiset hallintotoimijat.

****

Venäjän onnistui kaappaamaan käyttöönsä SolarWindsin Orion -tietokoneohjelman. Venäjä onnistui kaappaamaan SolarWindsin 33 000 Orion-asiakkaasta 18 000 asiakasta. Toisin sanojen Venäjä pääsi 18 000 asiakkaan tietokoneen sisälle asentamaan haittaohjelmia ja kalastamaan tietoja. Portti oli avattu.

Kyse oli Orion-ohjelman 2019.4…20.20.2.1 -päivityksistä (Orion Platform 2019.4 Release Notes  ja Orion Platform 2020.2.1 Release Notes), jotka SolarWinds julkaisi viime vuoden alkupuolella maaliskuun ja kesäkuun välisenä aikana (U.S. Securities and Exchange 14.12.2020).

Em. U.S. Securities and Exchange (SEC) on Yhdysvaltain arvopaperi‑ ja pörssikomissio. Ilman ohjelamapäivityslataamista Venäjä ei olisi päässyt koneisiin sisälle.

Venäjä tunkeutui SolarWindsin lisäksi FireEye-ohjelmistoyritykseen (kotisivut), joka on yksi maailman suurimmista tietoturvallisuusyrityksistä. FireEye kertoi hakkeroinnista 8.12.2020 toimitusjohtaja Kevin Mandian suulla (FireEye 8.12.2020).

Venäjä varasti FireEyeltä hakkerointityökaluja (custom penetration testing tools), joita yhtiö käyttää asiakkaiden verkkojen testaamiseen. Tunkeutuminen tapahtui jo vuoden alkupuolella.

FireEye toimitusjohtaja Kevin Mandia kuvasi kyberhyökkäyksen tekijöitä oheisesti:

”The attackers tailored their world-class capabilities specifically to target and attack FireEye. They are highly trained in operational security and executed with discipline and focus. They operated clandestinely, using methods that counter security tools and forensic examination. They used a novel combination of techniques not witnessed by us or our partners in the past.” (FireEye 8.12.2020).

Vapaasti suomennettuna:

”Hyökkääjät räätälöivät maailmanluokan kykynsä erityisesti kohdistaakseen ja hyökkäämään FireEyehin. He ovat korkeasti koulutettuja [ohjelmistojen] käyttöturvallisuudessa, ja he suorittavat toimensa kurinalaisesti ja kohdennetusti. He työskentelivät salaisesti ja laittomasti käyttäen menetelmiä, jotka eivät mahdollista turvatyökalujen käyttöä eikä oikeudellisia selvityksiä [tekijän todentamiseen]. He käyttivät uusia tekniikoiden yhdistelmää, joita emme me eikä meidän kumppanimme ole aiemmin nähneet.”

****

Yksityiskohtia, kuinka sitten Venäjä kykeni tarkasti hakkeroimaan SolarWindsin ja FireEyen, eivät yhtiöt ole paljastaneet julkisuuteen. Netti on jo kuitenkin täynnä asiaan liittyviä kirjoituksia.

Koska FireEye uskoo, että venäläishyökkääjät saivat käsiinsä mukautetut tunkeutumistestaustyökalut, ja yhtiö jakaa nyt IOC-aineistoa (indicators of compromise, IOC) ja vastatoimenpiteitä GitHub-tilillään (GitHub, FireEye Red Team Tool Countermeasures).

Ohjelmistoyritysten hakkerointi ja haittaohjelmien asennus ohjelmistopäivityksiin on kuitenkin se perusta, miksi Venäjä pääsi vähintään puoleksi vuodeksi vapaasti imuroimaan tietoja 18 000 asiakastietokoneen sisälle.

Ohjelmistopäivityksen kautta venäläishakkerit ovat voineet päättää, mihin tietokoneisiin he asensivat takaportin (backdoor). Tuon jälkeen on vain kysymys siitä, päättävätkö venäläishyökkääjät hyödyntää tuota pääsyä edelleen.

Kyse on siis tavallaan murtovarkaasta, jolla on avaimet tai paremminkin laajemman alueen asuntojen yleisavain, jolla päästään sisälle asuntoihin. Murtovaras kuitenkin päättää erikseen, käyttääkö hän avainta päästäkseen sisään johonkin huoneistoon tehdäkseen varkauden.

Kesti siis vähintään puolisen vuotta, kunnes hienostunut venäläishakkerointi tuli yleisemmin tietoon ja mahdollisuus suojaus- ja korjaustumiin käynnistyi.

Vahinko on jo tapahtunut ja tietoimurointi on varmasti pitkälti suoritettu. Nyt voidaan enää varmistaa, ettei samaa toimintatapaa voida käyttää ainakaan uudestaan ohjelmistopäivityksillä.

Syntyneen vahingon korjaaminen on todella työläs työ. Menetetty tieto on menetettyä eikä asia muuksi muutu.

Mikäli halutaan täysi varmuus verkon puhtaudesta, on se oikeastaan ajettava alas ja rakennettava uudestaan. Ei  ole helppoa eikä varsinkaan halpaa. Niin valtiolliset virastot kuin yksityiset toimijat ympäri maailmaa yrittävät nyt poistaa käytöstä ne SolarWinds-ohjelmistotuotteet, joita hakkerointi koskee.

****

Yhdysvaltain sisäisen turvallisuuden ministeriön kyberturvallisuus- ja infrastruktuurivirasto (Cybersecurity and Infrastructure Agency) on luokitellut tämän viimeisemmän Venäjän kyberhyökkäyksen ”vakavaksi uhaksi” (”serious threat”) (esim. AP 18.12.2020).

Yhdysvaltain uutistoimisto AP (The Associated Press, AP) on lainannut myös nimettöminä pysyviä yhdysvaltalaisia virkamieslähteitä, jotka ovat todenneet tämän olevan ”vakavin kyberhyökkäys Yhdysvaltojen historiassa” (”the most serious hacking attack in America’s history”).

Microsoft kertoi torstaina 17.12.2020, että tietoverkkomurtautujat olivat tunkeutuneet yli 40 valtionvirastoon Yhdysvalloissa. Maailmanlaajuisesti kohteita olivat ajatushautomot, kansalaisjärjestöt sekä informaatioteknologia- ja muut teknologiayritykset.

Neljä viidestä virastohyökkäyskohteesta sijaitsi Yhdysvalloissa ja teknologiayrityksistä lähes puolet. Microsoftin mukaan kyberhyökkäyskohteita on ollut myös ainakin Kanadassa, Meksikossa, Belgiassa, Espanjassa, Isossa-Britanniassa, Israelissa ja Arabiemiirikunnissa (Microsoft 17.12.2020).

Lista tulee tuskin jäämään tuohon ja kärsijöitä on myös Suomessa.

****

Me kaikki tietokoneiden ja älypuhelinten käyttäjät olemme nähneet ponnahdusikkunat kannettavissa tietokoneissamme tai puhelimissamme:

”Päivitys on saatavilla, lataa napsauttamalla tätä”.

Tai vastaava englanninkielellä:

”Update is available, click here to download”.

Olemme luottaneet, että ohjelmistopäivitykset ovat turvallisia ja niihin voimme luottaa. FireEye ja SolarWinds ovat vastaavia kuin esimerkiksi F-Secure (kotisivut) Suomessa.

Me luotamme yrityksiin ja yritysten laatimien ohjelmien päivityksiin. Usein päivitykset tehdään automaattisesti ohjelmistopäivitystoiminnolla.

Luotamme siis, että kun tulee ilmoitus uudesta ohjelmapäivityksestä turvalliseksi kokeneeltamme yritykseltä, olemme luottavaisin mielin voineet asentaa päivitykset tietokoneellemme ja puhelimiimme vain yhtä ponnahdusikkunaa klikkaamalla. Sallimme ohjelmistopäivityksen tehdä myös muutoksia tietokoneeseen.

Sekään ei useimpia meistä haittaa ohjelmapäivityksissä, vaikka käyttäisimme kommunistisen Kiinan valmistamaa Lenovo-tietokonetta tai Huawei-puhelinta. Siis välineitä, joista on varmasti riittävän suora linkki kommunistiseen turvallisuus- ja vakoiluhallintoon.

Siitä vaan – olemme todella luottavaisia täällä länsimaissa koko maailmaan!

****

Kun keväällä SolarWindsin Orion-ohjelmistoon ponnahdusviesti saapui eri yritysten ja muiden toimijoiden tietotekniikkahenkilöstön tai tietokoneiden loppukäyttäjien näytöille, noin 18 000 työntekijää yrityksissä ja valtioiden virastoissa latasi uutterasti tuon uuden päivityksen.

He eivät voineet tietää, että lataus oli yhtä kuin venäläisten vapaa pääsy tietokoneeseen. Edes ajatusta moisesta ei ole voinut syntyä.

SolarWinds itse ei myöskään tiennyt, että ohjelmapäivitys sisälsi Venäjän syöttämää haitta-aineistoa. Kaikki portit olivat auenneet venäläisille helposti.

SolarWinds oli joutunut viikkoja aiemmin verkkohyökkäyksen kohteeksi. Venäläishakkerit olivat ruiskuttaneet salaa pienen haittapalan yrityksen seuraavaan ohjelmistopäivitykseen.

Murtautuminen SolarWindsiin ei olisi ollut mahdollista ilman FireEyestä varastettuja työkaluja, jotka mahdollistivat lävistyksen. Noita varustettuja työkaluja on käytetty ainakin 19 maassa, mukaan lukien Yhdysvallat, Iso-Britannia, Irlanti, Alankomaat ja Australia (BBC 15.12.2020, Twitter Raj Samani 15.12.2020).

Muutaman viikon lepotilassa ollut ohjelmapäivityksen sisään leivottu haittaohjelma heräsi eloon tuhansissa tietokoneverkoissa kautta koko maailman Pohjois-Amerikassa, Euroopassa, Aasiassa ja Lähi-idässä Venäjää lukuun ottamatta.

Murto oli toimintatavaltaan niin poikkeuksellinen ja niin laaja, että voi viedä jopa vuosia, ennen kuin on täysi ymmärrys kaikkien aikojen suurimmista ja tuhoisimmista verkkohyökkäyksistä.

****

Venäjä on ottanut käyttöön kybersodassaan Yhdysvaltoja ja muita länsivaltoja vastaan aseen, joka siirtää vastakkainasettelun ja kybersodankäynnin aivan uudelle tasolle: ohjelmistopäivitykset.

Uskallammeko enää luottaa ohjelmistopäivityksiin? Ettei päivityksiin Venäjä ole liittänyt haittaohjelmia tietojen imuroimiseksi?

Tuo ohjelmapäivitystaktiikka on herättänyt jo mm. Ison-Britannian tiedustelu- ja turvallisuuspalvelun GCHQ:n (Government Communications Headquarters, GCHQ) entinen varatoimitusjohtaja Brian Lordinin, joka on todennut:

”The underlying access tactic that is the most concerning issue.” (BBC 16.12.2020).

Vapaasti suomennettuna:

”Käytössä ollut sisäänpääsytaktiikka on eniten huolestuttava asia.”

Brian Lordin vastuulla GCHQ:ssa olivat kyberoperaatiot.

Länsimaissa valtioiden tietoturvallisuus on yhtä kuin niiden yritysten tietotuvallisuus, joiden ohjelmiin valtioiden toiminta perustuu. Tätä tapahtunutta kehitystä me emme enää voi muuttaa, se on jo tosiasia. Me joudumme luottamaan ohjelmistoyrityksiin ja kärsimään yritysten virheistä.

Venäjän toimet nyt ovat paljon pahempia kuin puuttuminen vuoden 2016 Yhdysvaltojen presidentinvaaleihin.

Läntisen maailman on nyt asetettava niin rankkoja Venäjän-vastaisia pakotteita, joilla on todellista vaikutusta Venäjän käyttäytymiseen jatkossa.

Vastatoimilla vuoden 2016 Yhdysvaltain presidentinvaaleihin liittyen – joita ei oikeastaan ollut –  ei ole ollut pienintäkään vaikutusta Venäjän käyttäytymiseen. Yhdysvallat päästi Venäjän vuoden 2016 presidentinvaalien sekaantumisesta Trumpin johdolla hänen omana henkilökohtaisena etunaan ilman rangaistuksia.

Kyllä Kremlissä on taas kerran varmasti nostettu maljoja länsimaiselle kyvyttömyydelle vastata Venäjän mihinkään toimiin.

Nyt Venäjän toimet ovat olleet niin perustavaa laatua maailmanlaajuisen tietoturvallisuuden uskottavuudelle, että rangaistutoimien pitää olla sitä luokkaa, ettei Venäjä tee vastaavaa enää tulevaisuudessa. Kyse on ennen kaikkea EU:n ja Yhdysvaltojen yhteisesti laatimista vastatoimista.

Trumpin hallinto ei Venäjää vastaan hyökkää Trumpin kyltymättömien Putin- ja Venäjä-sympatioiden vuoksi, mutta Joe Bidenin hallinto tulee varmasti hyökkäämään. Silloin mitataan taas kerran, mitä mieltä Euroopassa ja EU:ssa ollaan Venäjän vastaisista toimista.

Tehdäänkö jotain todellista vai taas kerran pelkästään jotain nimellistä. Nord Stream 2:sta voisimme aloittaa. Navalnyi on jo siinä pohjalla lisätoimien oikeutetuille vaateille.