Also ich versuche es mal mit möglichst einfachen Worten, auch wenn dabei etwas die Genauigkeit/Korrektheit leiden sollte. Aber um das Prinzip zu verstehen sollte es reichen.
SolarWinds ist so ne halbseidene Security-Company. Deren Produkte werden wohl recht weiträumig eingesetzt (also auch bei großen bekannten Firmen wie Microsoft, AT&T oder McDonald's
g).
(Bei FreeBSD vermutlich eher nicht. Die können sich die Premium-Produkte von SolarWinds nicht leisten. :-))
Deshalb zieht es auch solche Kreise, das es das sogar bis in die Tagesschau schafft.
Die Produkte werden (wie andere Software heutzutage auch) regelmäßig mit Updates versorgt. Über den Updatekanal lässt sich natürlich auch Schadsoftware verteilen, wenn man den unter Kontrolle kriegt.
Die unter Kontrolle zu kriegen war nicht schwer. Denn das Passwort dafür war im Netz zu finden. Wie? Nein. Nicht irgendwo gehandelt im Darknet oder so. Sondern auf in einem offiziellen github-Repository von denen (das Passwort war
solarwinds123 .... also nicht nur das es frei zugänglich war, es war auch nicht besonders ähm ... sagen wir mal so: Es entspricht nicht gerade gängigen Anforderungen die man üblicherweise an ein Passwort stellt
g).
Das ist aber nicht zwangsläufig ein Problem. Software (-Updates) sind heutzutage kryptographisch signiert. Das reicht also nicht dem Updater irgendein Binary unterzujubeln. Das muss auch noch die korrekte Signatur aufweisen, damit es akzeptiert wird.
SolarWinds hat aber auch hier ganze Arbeit geleistet und den Key zum signieren ebenfalls auf dem Update-Server abgelegt (sollte man nicht machen; weil wie gesagt: sonst reichts ja den Update-Server zu hacken.
Erschwerend kommt noch hinzu, das Antivirenkram signierte Binaries nicht scannt. Weil ist ja signiert. Also "sicher". :-)
wie üblich wenn sowas passiert muss es der Russe gewesen sein
Jaja. Das ist natürlich schnell als Ausrede zur Hand.
Aber stell Dir mal vor, Du willst Deine Wohnung gegen Einbrecher schützen. Gleichzeitig legst Du aber Deinen Generalschlüssel an einer prominenten Stelle ab und gibst auch noch Bescheid, zu welchen Zeiten Du nicht zuhause bist (damit der Einbrecher ungestört arbeiten kann).
Klar ist der Einbrecher dann immer noch ein Einbrecher und der Einbruch als solches kriminell.
Dennoch handelt der Wohnungsbesitzer zumindest fahrlässig. Und was bei SolarWinds ja besonders pikant ist:
Das ist ja ein Security-Bude. Die soll ja eigentlich schützen. Das ist sozusagen die Alarmanlage in Deiner Wohnung. Wenn Di dann sicherheitstechnisch so agieren, dann ist das noch mal ne andere Dimension.
