NASA (National Aeronautics and Space Administration) heeft informatie onthuld over een hack van haar interne infrastructuur die ongeveer een jaar onopgemerkt is gebleven. Het is belangrijk om te weten dat het netwerk was afgeschermd van externe bedreigingen en dat de aanval intern werd uitgevoerd met behulp van een Raspberry Pi-bord dat zonder toestemming was aangesloten bij het Jet Propulsion Laboratory (JPL).
Dit bord werd door medewerkers gebruikt als toegangspunt tot het lokale netwerk. Tijdens de hack van een extern systeem met toegang tot de gateway, kregen de aanvallers toegang tot het bord en daarmee tot het gehele interne netwerk van het Jet Propulsion Laboratory, waar de Curiosity-rover en ruimtetelescopen werden ontwikkeld.
In april 2018 werden sporen van indringers op het interne netwerk gevonden. Tijdens de aanval wisten onbekende personen 23 bestanden te onderscheppen, met een totale grootte van ongeveer 500 MB, die verband hielden met missies naar Mars.
Twee van deze bestanden bevatten informatie die onder het exportverbod op technologieën voor tweeërlei gebruik viel. Daarnaast kregen de aanvallers toegang tot het netwerk van een Deep Space Network (DSN)-satellietantenne die gebruikt wordt voor het ontvangen en verzenden van gegevens naar de ruimtevaartuigen die bij NASA-missies worden ingezet.
Van de redenen die hebben bijgedragen aan de implementatie van de hack, werd de late eliminatie van kwetsbaarheden in interne systemen genoemd.
Uit de audit bleek echter dat de database-inventaris onvolledig en onnauwkeurig was, een situatie die het vermogen van JPL om beveiligingsincidenten effectief te bewaken, te rapporteren en erop te reageren, in gevaar brengt.
Systeembeheerders werken de inventaris niet systematisch bij wanneer ze nieuwe apparaten aan het netwerk toevoegen. Met name sommige actuele beveiligingslekken zijn al meer dan 180 dagen niet verholpen.
De afdeling beheerde ook op onjuiste wijze de ITSDB -inventarisdatabase (Information Technology Security Database) , die alle apparaten zou moeten bevatten die op het interne netwerk zijn aangesloten.
Concreet werd vastgesteld dat 8 van de 11 systeembeheerders die verantwoordelijk zijn voor het beheer van de 13 studiemonstersystemen een aparte inventarisatietabel van hun systemen bijhouden, van waaruit ze periodiek en handmatig de informatie in de ITSDB-database bijwerken.
Daarnaast verklaarde een systeembeheerder dat hij niet regelmatig nieuwe apparaten in de ITSDB-database invoerde, omdat de updatefunctie van de database soms niet werkte.
De analyse toonde aan dat deze database onzorgvuldig was ingevuld en de werkelijke situatie van het netwerk niet weerspiegelde , onder meer doordat er geen rekening werd gehouden met het door medewerkers gebruikte Raspberry Pi-bord.
Het interne netwerk zelf was niet opgedeeld in kleinere segmenten, wat de activiteiten van de aanvallers vereenvoudigde.
Ambtenaren vreesden dat cyberaanvallen de brug lateraal naar hun missiesystemen zouden oversteken, waardoor ze mogelijk toegang zouden krijgen tot en kwaadaardige signalen zouden sturen naar bemande ruimtevluchtmissies met behulp van deze systemen.
Tegelijkertijd stopten IT-beveiligingsagenten met het gebruik van de DSN-gegevens omdat ze vreesden dat deze corrupt en onbetrouwbaar zouden zijn.
NASA noemde echter geen namen die direct verband hielden met de aanval van april 2018. Sommigen speculeren echter dat dit te maken zou kunnen hebben met de acties van de Chinese hackergroep Advanced Persistent Threat 10, of APT10.
Volgens de klacht toonden onderzoeken aan dat spionnen dankzij een phishing-campagne honderden gigabytes aan gegevens konden stelen door toegang te krijgen tot ten minste 90 computers, waaronder computers van zeven luchtvaart-, ruimtevaart- en satelliettechnologiebedrijven, van drie bedrijven.
Deze aanval maakt heel duidelijk dat zelfs organisaties met de hoogste beveiligingsniveaus dit soort gebeurtenissen kunnen ondergaan.
Gewoonlijk maken dit type aanvallers misbruik van de zwakste schakel in de computerbeveiliging, namelijk de gebruikers zelf.