SolarWinds Orion arka kapısı, ağ ve altyapı izleme için yaygın kullanılan Orion yazılımının resmi güncelleme paketlerine gizlice zararlı kod yerleştirilerek, binlerce kurumun güvenilir bir güncelleme kanalı üzerinden ele geçirilmesine yol açan bir saldırıdır. 2020 sonunda açığa çıktığında, on yılın en geniş etkili siber olaylarından biri olarak değerlendirildi.

Güvenilir bir yazılımın imzalı güncellemesinin içine arka kapı yerleştirip, o yazılımı kuran herkese aynı anda sızmanın adıdır SolarWinds Orion olayı.

Derleme Hattına Sızma

Saldırganların dehası, zararlı kodu geliştiricinin kaynak deposuna değil, doğrudan yazılımın derleme (build) sürecine yerleştirmesiydi. Böylece Sunburst adı verilen arka kapı, yazılımın meşru dijital imzasıyla imzalandı ve güncelleme sunucularından dağıtıldı. Müşteriler, güvenilir bir satıcıdan gelen imzalı bir güncelleme kurduklarını sanırken arka kapıyı da beraberinde yüklediler.

Bu yaklaşım, klasik bir tedarik zinciri saldırısı örneğidir: Saldırgan her hedefe ayrı ayrı sızmak yerine, hepsinin ortak güvendiği tek bir noktayı, yazılım sağlayıcısını zehirler. Tek bir zehirli güncelleme, on binlerce kuruma dağıtılan bir sızma vektörüne dönüşür.

Sessiz ve Sabırlı İşleyiş

Sunburst kurulduktan sonra hemen harekete geçmedi; günlerce hareketsiz kaldı, kendini analiz ortamlarına karşı denetledi ve ancak sonra komuta-kontrol altyapısıyla iletişim kurdu. Trafiğini meşru Orion telemetrisini taklit eden bir protokole gizledi, böylece ağ izleme araçlarının gözünden kaçtı.

Bu sabırlı, düşük profilli davranış, arkasındaki grubun bir gelişmiş kalıcı tehdit aktörü olduğunu gösteriyordu. İlgi çeken hedeflerde ikinci aşama yükler indirilerek kalıcı erişim kuruldu; geri kalan kurumlarda arka kapı sessizce beklemeye bırakıldı, bu da tespiti daha da güçleştirdi.

Olaydan Çıkan Dersler

Bu olay, yazılım tedarik zincirinin bütünlüğünü doğrulamanın sadece imza denetiminden ibaret olmadığını gösterdi. Buna yanıt olarak, bir yapının hangi kaynaktan hangi adımlarla üretildiğini kanıtlanabilir kılan çerçeveler öne çıktı; SLSA çerçevesi derleme hattının her aşamasına bütünlük garantileri getirmeyi, in-toto ise yazılım üretim adımlarının kriptografik olarak imzalanıp doğrulanmasını hedefler.

Kurumsal tarafta ise ders açıktır: Güvenilir bir satıcıdan gelen yazılım bile davranışsal izlemenin dışında tutulmamalıdır. Bir izleme aracının beklenmedik dış bağlantılar kurması ya da alışılmadık süreçler başlatması, kaynağı ne olursa olsun araştırılmalıdır. Böyle bir tedarik zinciri sızmasının kapsamını çıkarmak ve arka kapının ne kadar ilerlediğini belirlemek için Privia Security olay inceleme ve olay müdahalesi ekibi devreye girer.