Vụ tấn công mạng SolarWinds, vốn đã gây ảnh hưởng đến hàng ngàn tổ chức sử dụng các sản phẩm bị cài cắm cửa hậu của hãng phần mềm SolarWinds, có thể đã làm lộ bí mật của vô số tài liệu tòa án được niêm phong trong hệ thống tòa án liên bang Hoa Kỳ. Văn phòng Hành chính (AO) của Tòa án Hoa Kỳ đã đưa ra thông báo về việc này.

Cơ quan tư pháp này cho biết họ sẽ triển khai các biện pháp kiểm soát chặt chẽ hơn đối với việc tiếp nhận và lưu trữ các tài liệu nhạy cảm nộp cho tòa án liên bang. Nguyên nhân là do hệ thống của họ đã bị xâm nhập trong vụ tấn công chuỗi cung ứng SolarWinds. Kẻ gian đã bí mật chèn mã độc vào các bản cập nhật mà SolarWinds phát hành cho khoảng 18.000 người dùng phần mềm quản lý mạng Orion của họ, bắt đầu từ tháng 3 năm 2020.

“AO đang phối hợp với Bộ An ninh Nội địa để thực hiện một cuộc kiểm toán an ninh liên quan đến các lỗ hổng trong hệ thống Quản lý Vụ việc/Hồ sơ Vụ việc Điện tử (CM/ECF) của ngành tư pháp. Điều này làm tăng nguy cơ xâm phạm các tài liệu không công khai có độ nhạy cảm cao được lưu trữ trên CM/ECF, đặc biệt là các hồ sơ niêm phong,” cơ quan này cho biết trong một tuyên bố được công bố vào ngày 6 tháng 1.

Tuyên bố cũng cho biết thêm: “Một sự xâm phạm rõ ràng vào tính bảo mật của hệ thống CM/ECF do những lỗ hổng được phát hiện này hiện đang được điều tra.” “Do tính chất của các cuộc tấn công, việc xem xét vấn đề này và tác động của nó vẫn đang tiếp diễn.”

AO từ chối bình luận về các câu hỏi cụ thể liên quan đến việc tiết lộ vi phạm của họ. Tuy nhiên, một nguồn tin thân cận với cuộc điều tra nói với KrebsOnSecurity rằng hệ thống tài liệu của tòa án liên bang đã bị “tấn công mạnh mẽ” bởi những kẻ tấn công SolarWinds, những người mà nhiều cơ quan tình báo và thực thi pháp luật Hoa Kỳ cho là “có nguồn gốc từ Nga”.

Nguồn tin cho biết những kẻ xâm nhập đứng sau vụ xâm nhập SolarWinds đã gieo rắc vào mạng của AO một phần mềm độc hại “Teardrop” giai đoạn hai. Phần mềm này vượt ra ngoài bản cập nhật phần mềm độc hại “Sunburst” đã được đẩy một cách cơ hội cho tất cả 18.000 khách hàng sử dụng phần mềm Orion bị xâm phạm. Điều này cho thấy những kẻ tấn công đã nhắm mục tiêu vào cơ quan này để có quyền truy cập sâu hơn vào mạng và thông tin liên lạc của họ.

Hệ thống tài liệu của tòa án AO cung cấp năng lượng cho một cơ sở dữ liệu có thể tìm kiếm công khai gọi là PACER. Phần lớn các tệp trong PACER không bị hạn chế và có sẵn cho bất kỳ ai sẵn sàng trả tiền để xem hồ sơ.

Tuy nhiên, các chuyên gia cho biết nhiều tài liệu khác được lưu trữ trong hệ thống của AO đã được niêm phong – tạm thời hoặc vĩnh viễn bởi tòa án hoặc các bên trong một vấn đề pháp lý – và có thể chứa thông tin rất nhạy cảm, bao gồm cả tài sản trí tuệ và bí mật thương mại, hoặc thậm chí cả danh tính của những người cung cấp thông tin bí mật.

Nicholas Weaver, một giảng viên tại khoa khoa học máy tính tại Đại học California, Berkeley, cho biết hệ thống tài liệu của tòa án không chứa các tài liệu được phân loại vì lý do an ninh quốc gia. Nhưng ông nói rằng hệ thống này chứa đầy các hồ sơ niêm phong nhạy cảm – chẳng hạn như trát đòi hầu tòa đối với hồ sơ email và các yêu cầu “bẫy và theo dõi” mà các quan chức thực thi pháp luật sử dụng để xác định một nghi phạm đang liên lạc với ai qua điện thoại, khi nào và trong bao lâu.

Weaver nói: “Đây sẽ là một kho báu cho người Nga khi biết về rất nhiều cuộc điều tra hình sự đang diễn ra.” “Nếu FBI đã truy tố ai đó nhưng chưa bắt giữ họ, thì tất cả đều được niêm phong. Rất nhiều công cụ điều tra được bảo vệ dưới lệnh niêm phong được đệ trình rất sớm trong quá trình này, thường kèm theo các lệnh cấm [bên bị đòi trát] tiết lộ yêu cầu.”

Lời thừa nhận từ AO được đưa ra vài giờ sau khi Bộ Tư pháp Hoa Kỳ cho biết họ cũng là nạn nhân của những kẻ xâm nhập SolarWinds. Những kẻ này đã giành quyền kiểm soát hệ thống Office 365 của bộ và truy cập email được gửi hoặc nhận từ khoảng ba phần trăm tài khoản DOJ (bộ có hơn 100.000 nhân viên).

Vụ hack SolarWinds cũng được báo cáo là gây nguy hiểm cho các hệ thống email được sử dụng bởi các quan chức hàng đầu của Bộ Tài chính và cho phép những kẻ tấn công truy cập vào các mạng bên trong các bộ Năng lượng, Thương mại và An ninh Nội địa.

Tờ New York Times hôm thứ Tư đưa tin rằng các nhà điều tra đang xem xét liệu một vụ vi phạm tại một nhà cung cấp phần mềm khác – JetBrains – có thể đã thúc đẩy cuộc tấn công vào SolarWinds hay không. Công ty này, được thành lập bởi ba kỹ sư người Nga tại Cộng hòa Séc, tạo ra một công cụ gọi là TeamCity, giúp các nhà phát triển kiểm tra và quản lý mã phần mềm. TeamCity được sử dụng bởi các nhà phát triển tại 300.000 tổ chức, bao gồm SolarWinds và 79 công ty trong Fortune 100.

Tờ Times cho biết: “Các quan chức đang điều tra xem liệu công ty, được thành lập bởi ba kỹ sư người Nga tại Cộng hòa Séc với các phòng thí nghiệm nghiên cứu ở Nga, có bị xâm phạm và được sử dụng như một con đường để tin tặc chèn cửa hậu vào phần mềm của vô số công ty công nghệ hay không.” “Các chuyên gia bảo mật cảnh báo rằng cuộc xâm nhập kéo dài hàng tháng có thể là vụ vi phạm lớn nhất đối với các mạng của Hoa Kỳ trong lịch sử.”

Theo các thủ tục mới của AO, các tài liệu tòa án có độ nhạy cảm cao nộp cho tòa án liên bang sẽ được chấp nhận nộp ở dạng giấy hoặc thông qua một thiết bị điện tử an toàn, chẳng hạn như ổ flash và được lưu trữ trong một hệ thống máy tính độc lập an toàn. Các tài liệu niêm phong này sẽ không được tải lên CM/ECF.

AO cho biết: “Thông lệ mới này sẽ không thay đổi các chính sách hiện hành liên quan đến quyền truy cập công khai vào hồ sơ tòa án, vì hồ sơ niêm phong là bí mật và hiện không có sẵn cho công chúng.”

James Lewis, phó chủ tịch cấp cao tại Trung tâm Nghiên cứu Chiến lược và Quốc tế, cho biết còn quá sớm để biết tác động thực sự của vụ vi phạm tại hệ thống tòa án, nhưng việc họ rõ ràng là mục tiêu là “một vấn đề rất lớn”.

Ông nói: “Chúng tôi không biết người Nga đã lấy gì, nhưng việc họ có quyền truy cập vào hệ thống này có nghĩa là họ có quyền truy cập vào rất nhiều thứ tuyệt vời, bởi vì các vụ án liên bang có xu hướng liên quan đến các mục tiêu có hồ sơ khá cao”.

Giải thích thuật ngữ:

• SolarWinds: Một công ty phần mềm của Mỹ chuyên cung cấp các công cụ quản lý và giám sát mạng.
• Cửa hậu (Backdoor): Một phương pháp bí mật để vượt qua các biện pháp bảo mật thông thường và truy cập vào một hệ thống máy tính.
• Chuỗi cung ứng (Supply chain): Một mạng lưới các tổ chức và nguồn lực tham gia vào việc tạo ra và phân phối một sản phẩm hoặc dịch vụ.
• CM/ECF (Case Management/Electronic Case Files): Hệ thống quản lý vụ việc và hồ sơ điện tử của tòa án liên bang Hoa Kỳ.
• PACER (Public Access to Court Electronic Records): Hệ thống truy cập công khai vào hồ sơ tòa án điện tử.
• Trát đòi hầu tòa (Subpoena): Lệnh của tòa án yêu cầu một người phải xuất hiện trước tòa hoặc cung cấp bằng chứng.
• Office 365: Một bộ ứng dụng văn phòng dựa trên đám mây của Microsoft.
• JetBrains: Một công ty phần mềm chuyên phát triển các công cụ cho các nhà phát triển.