Bloomberg rapporterar bombardemang av kinesisk hårdvaruattack mot amerikanska teknologiföretag och fick snabbt förnekande

Hackare utnyttjar rädslan för coronavirus för att sprida skadlig kod

En bombrapport hävdar att Kina har utvecklat en massiv spioneringsoperation i några år som innebar att man byggde hårdvarubakdörrar till kritiska serverkomponenter med hjälp av mikrochips som inte var större än ett riskorn eller spetsen på en slipad penna. Dessa marker, som en gång placerats på moderkort som går in på populära servrar, skulle kunna hjälpa kinesiska spioner att få tillgång till information som annars inte skulle vara tillgänglig för dem.

Den djupgående exponera kommer från Bloomberg Business Week, som citerade upp till 17 personer med kunskap om hårdvaruhantering, inklusive sex nuvarande och tidigare nationella säkerhetsmyndigheter, samt källor från Amazons AWS-verksamhet och tre Apple-insiders. Rapporten konstaterar att minst 30 amerikanska företag kan ha blivit utsatta för hårdvaruhacket i leveranskedjan, inklusive framstående namn som Amazon och Apple.

Amazon, Apple och Supermicro har förnekat anklagelserna, liksom Kina.

Att ändra hårdvaran skulle ge angripare enorm makt över programvaran, förklarar rapporten. Chipsen skulle kunna ansluta till externa datorer och tvinga hårdvaran så att mer skadlig programvara kan installeras:

Detta system kan låta angriparna ändra hur enheten fungerade, rad för rad, hur de än ville, och lämnade ingen klokare. För att förstå kraften som skulle ge dem, ta detta hypotetiska exempel: Någonstans i Linux-operativsystemet, som körs på många servrar, är kod som auktoriserar en användare genom att verifiera ett skrivet lösenord mot en lagrad krypterad. Ett implanterat chip kan ändra en del av den koden så att servern inte söker efter lösenord Рoch presto! En säker maskin är öppen för alla användare. Ett chip kan också stjäla krypteringsnycklar för säker kommunikation, blockera säkerhetsuppdateringar som skulle neutralisera attacken och öppna nya vägar till internet.

Hårdvaruhacket skulle ge angripare oöverträffad tillgång till amerikanska företag och regeringen med liten risk för upptäckt. Ett skadligt chip som enligt uppgift hittades i AWS-servrar i Kina var så litet att det skulle passa mellan de lager av glasfiber som de andra komponenterna fästes på.

Bloomberg erbjuder denna animering för att markera storleken på chipet i förhållande till moderkortet:

Enligt Bloomberg började allt för Amazon 2015, då det anställde ett tredjeparts säkerhetsteam för att undersöka Elementals hårdvara. Teamet upptäckte uppenbarligen ett litet mikrochip som inte var större än ett riskorn på moderkort från Elemental, hårdvara som byggdes av Supermicro. Amazon sägs då ha vidarebefordrat informationen till den amerikanska regeringen. Elementära servrar var också närvarande i Department of Defense datacenter, CIA-drönare och Navy krigsfartyg.

Amazon förnekade alla anklagelser:

Det är osant att AWS visste om en leveranskedjekompromiss, ett problem med skadliga marker eller modifieringar av hårdvara när man skaffade Elemental. (Amazons fullständiga förnekelse av Bloomberg finns här.)

I maj samma år upptäckte Apple ovanliga nätverksaktiviteter och firmwareproblem och hittade misstänkta marker på Supermicro-servrar. FBI underrättades, men Apple tillät inte utredare i sina datacenter. Under de efterföljande månaderna bytte Apple ut Supermicro-servrar och slog band med företaget, trots tidigare planer på att öka antalet Supermicro-servrar i sina datacenter.

Apple förnekade också alla anklagelser:

P√• detta kan vi vara mycket tydliga: Apple har aldrig hittat skadliga marker, “h√•rdvaru manipulationer” eller s√•rbarheter avsiktligt planterade i n√•gon server. (Apples fullst√§ndiga f√∂rnekelse av Bloomberg finns h√§r.)

Vi är djupt besvikna över att de i deras kontakter med oss Bloombergs reportrar har inte varit öppna för möjligheten att de eller deras källor kan ha fel eller felinformerad. Vår bästa gissning är att de förväxlar sin historia med en tidigare rapporterad incident 2016 där vi upptäckte en infekterad drivrutin på en enda Super Micro-server i ett av våra laboratorier. Den engångshändelsen bestämdes vara oavsiktlig och inte en riktad attack mot Apple. (Apples förnekelse av CNBC.)

Här är hur stort ett påstådt skadligt chip är, jämfört med ett öre:

För den amerikanska regeringen började allt ännu tidigare. Intelligenskällor noterade att Kina ville införa mikrochips i försörjningskedjan långt innan de upptäckter som Amazon och Apple gjorde. Bloomberg rapporter. Under första hälften av 2014 fick Vita huset veta att det var Supermicro-moderkort för amerikanska företag som Kinas militär riktade sig mot. Därifrån gick USA: s intelligens på jakt efter de skyldiga och fann de kinesiska leverantörerna ansvariga för ändringen av de ursprungliga moderkortdesignerna:

De [US spies] siktade genom kommunikationsavlyssningar, knackade på informanter i Taiwan och Kina, spårade till och med kritiska individer via sina telefoner, enligt den person som informerades om bevis som samlats under sonden. Så småningom, säger den personen, spårade de de skadliga chipsen till fyra underleverantörsfabriker som hade byggt Supermicro-moderkort i minst två år.

“T√§nk p√• Supermicro som Microsoft i h√•rdvaruv√§rlden”, s√§ger en tidigare amerikansk underr√§ttelsetj√§nsteman som har studerat Supermicro och dess aff√§rsmodell. ‚ÄĚAtt attackera Supermicro-moderkort √§r som att attackera Windows. Det √§r som att attackera hela v√§rlden. ‚ÄĚ

Supermicro utfärdade också ett förnekande:

Vi är inte medvetna om någon sådan utredning. (Supermicros fullständiga förnekelse av Bloomberg finns här).

Efter att ha upptäckt servrarna som dessa marker interagerade med hackade amerikanska underrättelsetjänster dessa datorer och drog slutsatsen att nästan 30 företag använde smutsad hårdvara, även om det kunde finnas mer.

Men snarare än att anklaga ett amerikanskt företag, Supermicro, för att sälja hårdvara som manipulerades under produktionen utan dess kunskap, nådde tjänstemän ut till några av dess viktigaste kunder och signalerade att Supermicro inte kunde lita på. Syftet med spelet för Kina var inte stöld av personliga kunduppgifter (incidenter som inte observerades enligt en amerikansk tjänsteman). I stället ville Kina ha direkt tillgång till värdefulla företagshemligheter och känsliga statliga nätverk.

Under veckorna som följde ett cybersäkerhetsavtal mellan USA och Kina i september 2015 informerade den amerikanska regeringen flera dussin tekniska chefer och investerare under ett Pentagon-möte i McLean, Virginia, om en nyligen angiven attack och rådde dem att skapa kommersiella produkter som kunde upptäcka maskinvaruimplantat. Supermicros namn nämndes inte, men för vissa människor var det klart vem de hänvisade till.

Kina förnekade anklagelserna:

Kina är en beslutsam försvarare av cybersäkerhet.

Vi hoppas att partier ger mindre omotiverade anklagelser och misstankar men genomför mer konstruktivt samtal och samarbete så att vi kan arbeta tillsammans för att bygga en fredlig, säker, öppen, samarbetsvillig och ordnad cyberspace. (Kinas fullständiga förnekelse av Bloomberg finns här).

Bloomberg s√§ger att √§rendet fortfarande p√•g√•r. Under de tre √•ren sedan m√∂tet har ingen kommersiell produkt f√∂r att uppt√§cka bakd√∂rrar av h√•rdvara dykt upp. “Det h√§r √§r i framkant av framkant, och det finns ingen enkel teknisk l√∂sning”, s√§ger en av m√§nniskorna n√§rvarande i McLean. ‚ÄĚDu m√•ste investera i saker som v√§rlden vill ha. Du kan inte investera i saker som v√§rlden inte √§r redo att acceptera √§nnu. ‚ÄĚ

Kina kan förneka sitt engagemang i denna typ av cyberattack, men det skulle knappast vara den enda nationalstaten som kan göra det. Rapporter tillbaka 2013, när Snowden-läckage var på modet, sa att de amerikanska underrättelsetjänsterna rutinmässigt skulle fånga upp hårdvara och implantatfel innan varorna levererades till kunderna.