NASA (Narodowa Agencja Aeronautyki i Przestrzeni Kosmicznej) ujawnił informacje o włamaniu do jego wewnętrznej infrastruktury, którego nie wykryto przez około rok. Należy zauważyć, że sieć była odizolowana od zagrożeń zewnętrznych i tak dalej atak hakerów został przeprowadzony od wewnątrz za pomocą płytki Raspberry Pi, podłączony bez pozwolenia w Jet Propulsion Laboratory (JPL).
Tablica ta była używana przez pracowników jako punkt wejścia do sieci lokalnej. Podczas włamania się do zewnętrznego systemu użytkownika z dostępem do bramy, napastnicy mogli uzyskać dostęp do deski rozdzielczej, a za jej pośrednictwem do całej sieci wewnętrznej Laboratorium Napędów Odrzutowych, które opracowało mobilny pojazd Curiosity oraz teleskopy kosmiczne.
Ślady intruzów w sieci wewnętrznej zostały zidentyfikowane w kwietniu 2018 roku. Podczas ataku nieznane osoby byli w stanie przechwycić 23 pliki o łącznej wielkości około 500 MB, związane z misjami na Marsa.
Dwa z tych plików zawierały informacje podlegające zakazowi eksportu technologii podwójnego zastosowania. Ponadto napastnicy uzyskali dostęp do sieci z anteny satelitarnej DSN (Deep Space Network) służy do odbierania i wysyłania danych do statku kosmicznego używanego w misjach NASA.
Z przyczyn, które przyczyniły się do wdrożenia hakowania, nazwano to późnym usuwaniem luk w systemach wewnętrznych.
Jednak audyt wykazał, że inwentaryzacja bazy danych była niekompletna i niedokładna, co zagraża zdolności JPL do skutecznego monitorowania, zgłaszania i reagowania na incydenty bezpieczeństwa.
Administratorzy systemów nie aktualizują systematycznie zapasów podczas dodawania nowych urządzeń do sieci. W szczególności, niektóre z obecnych luk pozostawały nieskorygowane przez ponad 180 dni.
Oddział nieprawidłowo utrzymywał również bazę danych inwentaryzacyjnych ITSDB (Baza danych bezpieczeństwa informatycznego), w której powinny znaleźć odzwierciedlenie wszystkie urządzenia podłączone do sieci wewnętrznej.
W szczególności stwierdzono, że 8 z 11 administratorów systemów odpowiedzialnych za zarządzanie 13 przykładowymi systemami do badania prowadzi oddzielną tabelę inwentaryzacyjną swoich systemów, z której okresowo i ręcznie aktualizują informacje w bazie danych ITSDB.
Ponadto, sysadmin stwierdził, że nie wprowadzał regularnie nowych urządzeń do bazy danych ITSDB, ponieważ funkcja aktualizacji bazy danych czasami nie działała.
Analiza wykazała, że ta baza danych została niedbale wypełniona i nie odzwierciedlała faktycznego stanu sieci, w tym taki, który nie uwzględniał płyty Raspberry Pi używanej przez pracowników.
Sama sieć wewnętrzna nie została podzielona na mniejsze segmenty, co upraszcza działania napastników.
Urzędnicy obawiali się, że cyberataki przejdą bocznie przez most do ich systemów misji, potencjalnie uzyskując dostęp i wysyłając złośliwe sygnały do załogowych misji lotów kosmicznych przy użyciu tych systemów.
Jednocześnie oficerowie bezpieczeństwa IT przestali używać danych DSN, ponieważ obawiali się, że są one uszkodzone i zawodne.
To powiedziawszy NASA nie wymieniła żadnych nazwisk bezpośrednio związanych z atakiem Kwiecień 2018 r. Jednak niektórzy przypuszczają, że może to być związane z działania chińskiej grupy hakerów znanej jako Advanced Persistent Threat 10 lub APT10.
Zgodnie ze skargą dochodzenie wykazało, że kampania phishingowa umożliwiła szpiegom kradzież setek gigabajtów danych poprzez dostęp do co najmniej 90 komputerów, w tym komputerów z siedmiu firm lotniczych, kosmicznych i satelitarnych, z trzech firm.
Atak ten jasno pokazuje, że nawet organizacje o najwyższym poziomie bezpieczeństwa mogą cierpieć z powodu tego typu zdarzeń.
Zazwyczaj tego typu ataki wykorzystują najsłabsze ogniwa w zabezpieczeniach komputera, to znaczy samych użytkowników.