黑客于2020年1月通过Citrix漏洞入侵了美国人口普查局

[[418603]]

本周一(8月16日)，美国政府监管机构表示，身份不明的黑客于2020年1月通过滥用美国人口普查局远程访问服务器中一个主要漏洞入侵了该机构的服务器。

对此，人口普查局官员表示，受损的服务器并未连接到2020年“十年一次”的人口普查网络，而且入侵者也没有机会影响人口普查结果。

而美国监察长办公室(OIG)在本周的一份报告中表示，此次黑客入侵只是获得了该机构远程访问服务器的访问权限。据悉，该服务器主要用于为人口普查局的远程工作人员提供对其内部网络的访问权限。

报告指出，“该漏洞利用只获得了部分成功，因为攻击者确实修改了系统上的用户账户数据以准备远程执行代码。然而，攻击者试图通过在受影响的服务器上创建后门来维持对系统的访问时却遭遇防火墙拦截，最终导致行动失败。”

黑客入侵了美国人口普查局的Citrix服务器

虽然监察长办公室官员在其报告中删去了服务器供应商的名称，但文件中包含的其他几个细节表明黑客正是利用了该机构Citrix ADC网关服务器中的漏洞。

该漏洞被跟踪为CVE-2019-19781，允许攻击者绕过Citrix ADC设备上的身份验证并执行恶意代码。

Citrix早在2019年12月17日就发布了有关该漏洞的安全公告，并发布了缓解措施，以便其客户能够在公司仍在开发软件补丁期间阻止攻击。

虽然修复程序于2020年1月下旬发布，但针对Citrix ADC设备的攻击在此之前就已经开始了，大概可以追溯到2020年1月11日，也就是一组安全研究人员在GitHub上发布了概念验证漏洞利用的第二天。

据监察长办公室的报告所示，美国人口普查局的服务器似乎是最先受到攻击的服务器之一，该机构的Citrix系统在主动漏洞利用(Active exploit)的第一天就遭到了黑客攻击。

攻击时间线：

2019年12月17日——Citrix披露了CVE-2019-19781，这是Citrix Application Delivery Controller (简称ADC，以前称为NetScaler ADC)和 Citrix Gateway(以前称为NetScaler Gateway)中的一个漏洞。补丁不可用，但供应商发布了缓解措施以防止攻击;

2020年1月10日——概念验证漏洞利用代码在GitHub上发布;

2020年1月11日——美国人口普查局Citrix服务器遭攻击者使用公开漏洞破坏;

2020年1月13日——美国人口普查局防火墙阻止攻击者与其远程命令和控制(C&C)服务器进行通信;

2020年1月15日——美国人口普查局收到了来自信息共享合作伙伴的恶意IP地址列表，这些地址被用于进行漏洞利用;

2020年1月16日——美国人口普查局的安全团队收到了来自CISA的通知，称其服务器被黑客入侵，并要求该机构进行调查;

2020年1月28日——美国人口普查局运行脚本并确认其Citrix系统遭到黑客攻击;

2020年1月31日——美国人口普查局收到第二份CISA通知，要求其调查被黑服务器;

2020年2月5日——美国人口普查局确认其他服务器遭到黑客攻击。

尽管人口普查局的防火墙检测到了入侵，并阻止了攻击者的进一步入侵行为，但监察长办公室表示，该机构在其他几个方面的表现都很失败，例如，尽管服务器供应商已经发出了警告，并发布了缓解措施，但该局仍持续数周未对漏洞进行缓解，并继续在Citrix服务器上运行报废软件，而且在接收到CISA通知后，花费了数周时间才完成调查和上报工作。

此外，监察长办公室还表示，人口普查局也没有更改被黑客入侵的Citrix服务器的默认日志记录设置，这意味着在进行深入调查时，包含关键证据的日志已被覆盖并从受感染系统中删除。除了这种情况外，一些设备还存在不保留日志，或是尝试将日志发送到一年多前停用的SIEM(安全信息和事件管理)平台上的情况。

根据美国、英国和澳大利亚网络安全机构的联合报告指出，自美国人口普查局违规事件以来，CVE-2019-19781 Citrix漏洞已经成为过去两年中被利用最多的安全漏洞之一。

如今，勒索软件团伙、初始访问经纪人以及国家支持的网络间谍组织也经常使用相同的漏洞来发动攻击。2020年3月，同样的漏洞也被指为导致澳大利亚国防军招募网络安全漏洞的根本原因。