De aanval op beveiligingsbedrijf RSA vond plaats via een phishingaanval en Excel spreadsheet, zo heeft het bedrijf laten weten. Over een periode van twee dagen werden twee verschillende phishingberichten naar een groep werknemers verstuurd. Volgens Uri Rivner van RSA ging het niet om hooggeplaatst personeel of waren het "waardevolle doelwitten". De e-mail had als onderwerp “2011 Recruitment Plan.”

De e-mail was listig genoeg om één van de werknemers van het beveiligingsbedrijf het bestand “2011 Recruitment plan.xls" te laten openen. Het Excel-bestand bevatte een zero-day exploit die een beveiligingslek in Adobe Flash Player misbruikte. Inmiddels is het lek door Adobe gepatcht.

Backdoor
De tweede stap van de aanval bestond uit het installeren van een backdoor om toegang tot de geïnfecteerde machine te houden. In dit geval ging het om een Poison Ivy variant, die in een reverse-connect mode was ingesteld, wat detectie bemoeilijkt. In dit geval maakt de besmette computer verbinding met de command & control server in plaats van andersom.

Hoe lang de aanvallers toegang tot het RSA-netwerk hadden is onbekend, maar Rivner merkt op dat dit korter was dan bij andere bekende advanced persistent threat (APT) aanvallen. "Maar toch was er tijd voor de aanvaller om meer strategische gebruikers te identificeren en toegang tot hun machines te krijgen." Via privilege escalation wist de aanvaller zijn rechten te verhogen om toegang tot anderen accounts te krijgen.

Diefstal
Uiteindelijk werd FTP gebruikt om veel met wachtwoord beveiligde RAR-bestanden van de RSA bestandsserver naar een externe, gehackte server te kopiëren. Daar werden ze weer door de aanvaller opgehaald. Welke informatie precies is buitgemaakt laat Rivner niet weten.

Wel schrijft hij dat de domeinen good.mincesur.com, up82673.hopto.org en www.cz88.net bij de aanval betrokken waren. "Misschien kan dit incident als een oefening worden gebruikt als je naar je eigen infrastructuur kijkt en afvraagt welke oplossingen je tegen soortgelijke aanvallen hebt", besluit de topman.