F5, światowy lider w dostarczaniu aplikacji i ich zabezpieczaniu, ujawnił zaawansowany cyberatak przeprowadzony przez podmiot państwowy, który przeniknął do środowiska deweloperskiego BIG-IP i systemów wiedzy inżynieryjnej, wykradając wrażliwe dane produktowe oraz zastrzeżony kod źródłowy.
Co się stało
Zgodnie z komunikatem F5 z 15 października firma odkryła w sierpniu, że podmiot działający na zlecenie państwa utrzymywał długotrwały, trwały dostęp do systemów wewnętrznych.
Atakujący:
- Pobrali kod źródłowy BIG-IP
- Uzyskali dostęp do danych dotyczących nieujawnionych luk w zabezpieczeniach, nad których usunięciem trwają obecnie prace
- Wykradli niewielki podzbiór danych konfiguracyjnych klientów z platformy zarządzania wiedzą
F5 potwierdziło, że nic nie wskazuje na naruszenie:
- Systemów CRM ani finansowych
- Danych wsparcia i iHealth
- NGINX ani jego kodu źródłowego
- Potoków kompilacji ani infrastruktury wydawniczej
Aby to zweryfikować, F5 uzyskało listy poświadczające od NCC Group i IOActive, potwierdzające brak ingerencji w łańcuch dostaw.
Reakcja F5
F5 wdrożyło szeroko zakrojone środki naprawcze:
- Zmieniono poświadczenia i zaostrzono kontrolę dostępu
- Wdrożono nowe narzędzia monitorowania i wykrywania
- Rozszerzono automatyzację łatania i inwentaryzacji
- Wzmocniono zabezpieczenia środowisk sieciowych i deweloperskich
- Zaangażowano kilka firm specjalizujących się w reagowaniu na incydenty oraz organy ścigania
„Twoje zaufanie ma znaczenie. Szczerze żałujemy, że doszło do tego incydentu, i ryzyka, które może on dla Ciebie stwarzać” — oświadczyło F5. „Zobowiązujemy się wyciągnąć wnioski z tego incydentu i podzielić się nimi z szerszą społecznością bezpieczeństwa.”
Dlaczego to ważne
Choć bezpośredni wpływ na klientów wydaje się ograniczony, eksperci ds. cyberbezpieczeństwa ostrzegają, że skradziony kod źródłowy i dane o lukach mogą zostać wykorzystane później.
Will Baxter, CISO w Team Cymru, zauważył:
„To podobne do SolarWinds — sprawcy mogą wykorzystać wykradziony kod źródłowy i konfiguracje do atakowania klientów F5 w przyszłych kampaniach.”
CISO Contrast Security, David Lindner, dodał, że motywem było prawdopodobnie szpiegostwo, a nie zysk, ponieważ atakujący chcieli poznać architekturę, na której opierają się rządy i przedsiębiorstwa na całym świecie.
Środki zaradcze i wytyczne branżowe
- F5 zaleca, aby wszyscy klienci zainstalowali najnowsze aktualizacje BIG-IP i stosowali się do wytycznych dotyczących utwardzania systemów.
- CISA poleciła agencjom federalnym zinwentaryzować i załatać wdrożenia F5 BIG-IP.
- F5 nadal bada początkowy wektor włamania, który pozostaje nieujawniony.
Perspektywa Alcaeus Services
To włamanie pokazuje, jak ważne jest zabezpieczanie łańcuchów dostaw i stałe czuwanie nad bezpieczeństwem. Nawet czołowi dostawcy są podatni na utrzymującą się obecność podmiotów państwowych, gdy celem jest własność intelektualna i dane o lukach.
W Alcaeus Services pomagamy przedsiębiorstwom wdrażać wywiad o zagrożeniach dla łańcucha dostaw, weryfikację integralności kodu i gotowość do reagowania na incydenty — zapewniając odporność nawet wobec atakujących wspieranych przez państwa.
