FireEye被黑客組織入侵，“核武”泄露
責編：gltian ｜2020-12-11 11:14:22全球最大的網絡安全公司之一FireEye（火眼）昨天披露遭遇黑客入侵，黑客成功竊取了FireEye滲透測試客戶網絡的黑客工具。
FireEye是一家全球知名的網絡安全公司，成立于2004年，總部位于加利福尼亞州的米爾皮塔斯。它在103個國家/地區(qū)擁有超過8,500多家客戶，全球員工超過3200多名。作為一家公開上市的美國網絡安全公司，FireEye提供用于應對高級網絡威脅的自動威脅取證及動態(tài)惡意軟件防護服務，如高級持續(xù)性威脅（APT）和魚叉式網絡釣魚。
FireEye也是第一家由美國國土安全部頒發(fā)認證的網絡安全公司，擁有大量美國關鍵基礎設施和政府部門客戶。
在昨天的新聞發(fā)布中，FireEye首席執(zhí)行官Kevin Mandia表示，攻擊者還搜索了與該公司某些政府客戶有關的信息。
作為APT高級威脅防御的領軍企業(yè)，FireEye此次被APT黑客組織入侵，對于拜登正在打造的美國國家網絡空間安全新戰(zhàn)略以及全球網絡安全行業(yè)都產生了不小的震動。
“核武泄露”
據悉，黑客竊取的RedEye客戶評估工具是FireEye公司的武器庫中，用來（滲透）測試和評估客戶安全性，可模仿許多黑客工具的“大殺器”。
Mandia指出：“在迄今為止的調查中，我們發(fā)現攻擊者主要針對并訪問了某些Red Team評估工具，這些工具用于測試客戶的安全性。”
“（失竊）工具不包含零日漏洞利用。與我們保護社區(qū)的目標一致，我們正在積極發(fā)布方法和手段來檢測盜用的Red Team工具的使用?！?/p>
FireEye在其公司博客的文章中說：被盜工具數量大、范圍廣，從用于自動化偵查的簡單腳本到類似于CobaltStrike和Metasploit等公開可用技術的整個框架”。
但是，其中許多工具已經被安全社區(qū)廣泛采用，或者作為FireEye CommandoVM開源虛擬機的一部分進行了分發(fā)。
根據事件發(fā)生以來收集的信息，尚未發(fā)現有人在野外使用被盜Red Team工具，并且FireEye已采取措施以防止這些工具將來被用于實施攻擊，FireEye表示：
我們已經準備了對策，可以檢測或阻止使用被盜的Red Team工具。
我們在安全產品中實施了對策。
我們正在與安全社區(qū)的同事共享這些對策，以便他們可以更新其安全工具。
我們正在GitHub上公開提供對策。
當Red Team工具公開或直接與我們的安全合作伙伴一起使用時，我們將繼續(xù)共享和完善對Red Team工具的其他緩解措施。
FireEye在其GitHub賬戶上共享了危害指標（IOC）和反措施（https://github.com/fireeye/red_team_tool_countermeasures）。FireEye提供的GitHub存儲庫包含Snort和Yara規(guī)則的列表，這些數據將幫助其他公司檢測黑客是否使用了FireEye的任何被盜工具來破壞其網絡。
國家黑客，有備而來？
FireEye首席執(zhí)行官兼董事會主席Kevin Mandia在提交給SEC的文件中說：“最近，我們受到了APT組織的攻擊，其紀律、操作安全和技術使我們相信這是國家資助的攻擊?！?/p>
“基于我25年的網絡安全經驗和對事件的響應，我得出結論，我們目睹了一個擁有一流進攻能力的國家的襲擊。”
“這種攻擊不同于多年來我們應對的數萬起事件。攻擊者專門針對FireEye量身定制了世界一流的攻擊策略和技術。”
顯然，入侵FireEye的攻擊者是有備而來，而且專門針對FireEye的關鍵資產，并且使用了對抗取證和檢測的安全工具和策略。
據悉，FireEye仍在與聯邦調查局和微軟等安全合作伙伴合作調查網絡攻擊。
到目前為止，對攻擊的初步分析支持了FireEye的結論，即FireEye是“使用新技術的高度復雜的，由國家資助的攻擊者”的受害者。
據華盛頓郵報報道，消息人士稱FireEye安全漏洞背后的國家黑客組織是俄羅斯網絡間諜組織APT29（又名“舒適熊”）。
政府客戶數據是否泄露？
FireEye確認，在攻擊過程中，攻擊者成功訪問了FireEye的內部系統，還試圖收集有關政府客戶的信息。但FireEye否認政府客戶的數據發(fā)生泄露。
“雖然攻擊者能夠訪問我們的某些內部系統，但就目前調查的結果來看，我們沒有發(fā)現攻擊者從主要系統中竊取數據的證據，這些數據包括由我們的產品收集到我們的動態(tài)威脅情報系統中的事件響應或咨詢活動中的客戶信息或元數據?！盡andia在FireEye的公司博客中解釋說。
12月9日，美國東部時間04：41，FBI網絡部助理總監(jiān)就正在進行的對FireEye黑客的調查發(fā)表了聲明，確認攻擊者使用的復雜技術符合國家黑客組織特征：
該組織與2014年對德國、韓國、烏茲別克斯坦和美國商業(yè)與政府實體的攻擊有關聯，攻擊對象包括五角大樓、民主黨全國委員會以及美國國務院和白宮。
最后，值得警惕的是，網絡安全公司被黑客攻擊并非新鮮事。趨勢科技和賽門鐵克在2019年、Avast在2019年和2017年、卡巴斯基在2015年，以及RSA安全早在2011年都曾遭遇黑客入侵。安全牛在《幾乎所有網絡安全公司都在泄露敏感數據》一文中，也報道過當前不少網絡安全公司自身的安全意識水平和信息泄露狀況非常糟糕，已經成為黑客供應鏈攻擊的目標。