NRC: Chinese hackers hadden twee jaar lang toegang tot netwerk chipfabrikant NXP

De Chinese hackersgroep Chimera had volgens onderzoek van NRC ruim twee jaar ongemerkt toegang tot het netwerk van de Nederlandse chipfabrikant NXP. De cyberaanval werd begin 2021 geopenbaard door Fox-IT, maar tot dusver was niet bekend welk bedrijf hier slachtoffer van was.

Diverse bronnen zeggen nu tegen NRC dat NXP het getroffen bedrijf is. De chipgigant erkende volgens de krant in enkele jaarverslagen dat er een cyberaanval had plaatsgevonden, maar liet de eventuele geleden schade in het midden: "We geloven niet dat deze hack een materieel effect heeft op onze bedrijfsvoering." Het bedrijf heeft nog niet gereageerd op vragen van Tweakers over de communicatie rondom de cyberaanval.

Het beveiligingsonderzoek van de oorspronkelijke cyberaanval werd uitgevoerd door Fox-IT, dat in een blogpost destijds uitgebreid beschreef hoe de Chinese hackers te werk gingen. Het bedrijf concludeerde toen al dat er intellectueel eigendom gestolen was, maar het is niet bekend hoeveel en wat voor informatie de hackers hebben buitgemaakt.

Volgens Fox-IT drongen de cybercriminelen in eerste instantie het netwerk van NXP binnen door uitgelekte accountgegevens van werknemers te gebruiken. Deze gegevens werden uit datalekken van andere platforms gehaald. Daaropvolgend werden andere accounts met bruteforceaanvallen gehackt en kregen de aanvallers stapsgewijs meer toegang tot de gevoelige informatie van NXP. Deze gegevens werden vervolgens gecomprimeerd en via clouddiensten als Google Drive, Microsoft OneDrive en Dropbox weggesluisd.

China wordt al langere tijd gehinderd door onder meer de Verenigde Staten wat het bemachtigen van microchips en de bijbehorende kennis betreft. Met de aanval op NXP hebben Chinese hackers vermoedelijk informatie willen vergaren over het chipontwerp van het bedrijf, dat vooral chips ontwikkelt voor de auto-industrie en netwerkonderdelen van smartphones.

Reacties (58)

[The Zep Man]

Volgens Fox-IT drongen de cybercriminelen in eerste instantie het netwerk van NXP binnen door uitgelekte accountgegevens van werknemers te gebruiken. Deze gegevens werden uit datalekken van andere platforms gehaald.

Dit impliceert dat geen MFA werd gebruikt.

[mphilipp]

Ik ben benieuwd - en dat zullen we nooit weten - hoe ver de hackers precies gekomen zijn. Ik kan mij nl voorstellen dat ze bepaalde nivo's van toegang hebben en je niet met elk account overal kan komen. Evenwel is dit zeer kwalijk en vooral dat ze al die tijd niets in de gaten hadden. Er wordt/werd blijkbaar niet echt heel grondig gemonitored op gewoontes van gebruikers, bekende inloglocaties e.d.

Als ze gegevens van iemand hadden die bij de belangrijkste ontwerpen/info kon, zijn ze echt f*cked. Daar kan de concurrent wel wat mee denk ik.

Onbegrijpelijk dat zo'n bedrijf de beveiliging niet goed op orde heeft. Zo moeilijk is het toch niet.

[Frame164]

Voor de mensen bij NXP blijkbaar wel moeilijk. Misschien moet je ze eens bellen en jouw diensten aanbieden. Ik naam aan dat je al bij diverse grote organisaties de beveiliging hebt ingeregeld omdat je stelt dat het niet zo moeilijk is.

[RAAF12]

Ik meen dat de NATO en bijv. Intel zijn geheime spulletjes niet bereikbaar heeft via Internet. Sterker nog de NATO heeft zijn eigen glasvezellijnen. ASML heeft ook last van jatwerk maar dan via oud Chineese werknemer(s).

[Christiaan676]

Het is heel gebruikelijk bij dit soort bedrijven dat het echt geheime spul op een air-gapped netwerk wordt ontwikkeld. Dus best kans dat NXP en ASML hier ook over beschikken.

[amyor]

Ik meen dat de NATO....

Yup. Ik meen dat ook.

[chris1508]

Heb je daar een bron voor ? Na mijn weten heb ik nog nooit van ontvreemding door oud Chinese medewerkers gehoord.

[Koakie D]

https://www.google.com/search?q=chinese+oud+medewerker+asml

Google is je vriend. Kies maar uit welke bron je wilt hebben.

[uiltje]

"Zo moeilijk is het toch niet". Dit klinkt als het beste paard eerlijk gezegd. Ik ken meerdere bedrijven waarbij zo'n situatie kan ontstaan en ik ben waarschijnlijk wat dichter bij het vuur. Een echt goede beveiliging hebben en bijhouden kost veel geld, kennis en inzet, wat beide meestal maar mondjesmaat beschikbaar is. Als je als CSO aan de slag wil gaan dan moet je niet je vinger opsteken want dan ben je 'm kwijt. Kan je voorstellen wat er met de goede CSO's gebeurd.

[Lodd]

Als je een echt goede beveiliging hebt houd je er toch ook rekening mee dat het een keer misgaat? En dan denk je toch ook na hoe je in zo'n situatie kan handelen?

De waarheid is dat 100% veiligheid in het echte leven niet bestaat, evenals 100% foutloos werken. De mensen die anders beweren hebben simpelweg een blinde vlek.

Edit: domme typfout hersteld.

[Reactie gewijzigd door Lodd op 22 juli 2024 19:43]

[Aldy]

Je kan alles dichttimmeren met de kennis die op dat moment beschikbaar is, onafhankelijk of het ook werkbaar is voor de werknemers. Maar eens gaat het toch fout en je weet gewoon van tevoren niet hoe en waar zo'n hacker gaat toeslaan. Een beveiliger kan nooit meer doen dan wat er op dat moment bekend is. En ja, mensen die anders beweren ....

[deathparadenl]

Zo moeilijk is het niet totdat je DIE groep mensen tegen komen die in elk bedrijf zitten.
"wat is dit toch voor onzin zo'n wachtwoord kan ik toch nooit onthouden en moet hem elke maand veranderen ik ga gewoon lekker me ouwe wachtwoord gebruiken met een leesteken en cijfer anders hoor!" en ja daar begint het al.

[uiltje]

Je kan beter proberen om wachtwoorden uit te faseren, password managers introduceren en mensen helpen om een goed wachtwoord te produceren. Je kan mensen proberen op te leiden natuurlijk, maar dat zou nooit mijn eerste lijn zijn. Je systemen moeten redelijk fool-proof zijn want fools zijn niet te voorkomen. Dat is ook de reden waarom je data en systemen moet scheiden, minimale rechten moet toekennen etc.

[mphilipp]

Volgens mij is het maken van chipmachines nóg moeilijker, dus de moeilijkheidsgraad kan geen excuus zijn voor dit bedrijf. Ze beseffen toch hopelijk wel hoe belangrijk het is om hun IP te beschermen?

[Burning]

Het probleem zit hem vaker in de medewerkers. Die blijven de zwakste schalen en beveiliging staat vaak haaks op gemak.

Het intellectueel niveau van de medewerkers veranderd daar weinig aan.

[latka]

Het is heel makkelijk: trek de stekker naar het internet eruit... -> Gebruikers ontevreden -> stekker er weer in -> security ontevreden -> superstreng security beleid (de internet PC in de gang, de rest offline) -> gebruikers niet blij -> Iedereen internet op de desktop -> security niet blij -> 2FA, alleen uitgaande verbindingen. Alle inkomende dicht. Attachments bij mail geblokkeerd (in en uitgaand!). Geen https-sites ivm. content-scanning en lekken van data te kunnen monitoren met deep packet inspection -> gebruikers niet blij....

Tuurlijk: het is heel eenvoudig als die gebruiker zouden stoppen met gezeur dat ze Tweakers.net op het werk willen lezen en kunnen posten aldaar. Als je de oplossing hebt mag je die hier posten aub.

[PhilipsFan]

Daar heeft het niks mee te maken. Wat ik begrijp is dat er accountgegevens zijn uitgelekt via hacks van andere platformen. Er is dus niks gehacked bij NXP. Er waren blijkbaar medewerkers die voor NXP hetzelfde wachtwoord gebruikten als bij andere platformen EN er was geen MFA.

Het ene kan gemakkelijk wat aan worden gedaan: je medewerkers voorlichten dat ze geen wachtwoorden moeten hergebruiken. Of het gebruik van wachtwoorden helemaal afschaffen door bijvoorbeeld passkeys of smartcards te gebruiken. Het tweede kan de organisatie iets aan doen: Een MFA-oplossing aanschaffen en implementeren.

[latka]

Mijn punt was niet deze specifieke aanvalsvector maar in het algemeen: het is een wapenwedloop. Als jij 2MFA gaat doen, gaan ze zero-days inzetten of gewoon ouderwets de 2e factor stelen. Zolang je aan het internet hangt ben je een potentieel target. De enigste veilige PC ligt op de bodem van de ocean. Zonder netwerkkabel. Onder 5 meter beton. En zelfs dan is het wachten totdat die gehacked wordt.

[divvid]

Als die gebruikers (geen tante jetjes, maar hoog opgeleiden) niet kunnen snappen wat security bij een bedrijf als NXP inhoudt, dan ben je ze liever kwijt dan rijk.

In mijn eerste baan bij een multinational,23 jaar geleden, werd security en de zin er van ‘er in geramd’. Er was uitleg over modus operandi, gevolgen van slordig omgaan met ww/usb/internet etc,etc. Regelmatig kregen we nep spam en telefoontjes van ‘een collega van een andere vestiging’, of probeerde iemand mee te lopen door een beveiligde deur. Deed je het niet goed?—> taart voor de afdeling, of erger bij herhaling.

Dit was 23 jaar dus al allemaal gemeengoed. Voor NXP dus geen excuus

[latka]

Ik werk samen met hoog opgeleide alpha's: superslim, maar alles waar een stekker aan zit is verdacht en zowiezo de moeite van het leren niet waard

[divvid]

Bij nxp ga je weinig alpha’s vinden

[Osiummaster]

Ik stel voor om Tweakers.net te blokkeren op de gebruikers werk EN prive PC's zodat ze hun ongenoegen met sysadmins niet meer kunnen uiten. Als het ongenoegen niet meer te horen valt dan bestaat het probleem niet meer.

[batjes]

Onbegrijpelijk dat zo'n bedrijf de beveiliging niet goed op orde heeft. Zo moeilijk is het toch niet.

Zodra je ook maar een beetje met netwerk connected legacy shit (Win2003 of zelfs ouder) werkt, en daar is nog genoeg van dat niet 1-2-3 zo maar even te vervangen is.

Wordt veiligheid al heel snel, behoorlijk pittig. Binnen is dan al heel snel binnen en dan heb je maar weinig verdedigingslinies en met ook maar een beetje pech, kun je nog zo veel investeren in je maginot lijn.....

MKB IT bedrijven van een tiental man hebben al heel snel een dedicated SOC en/of CISO nodig. Dan is budget vaak niet eens een probleem, vind die mensen maar eens. (goede)Security officers zijn een relatief zeldzaam verschijnsel.

[sapphire]

En als je een CISO hebt moet je er ook één hebben die naar het geroep uit het veld luistert.

Ik heb technisch gezien niet hee veel verstand van security maar sta wel letterlijk tussen de gebruikers en zie heel veel aanvals vectoren. Zó vaak dingen aangekaart die imho anders kunnen, waar aandacht aan besteed moet worden of wat niet moet kunnen. Maarja luisteren ho maar, 1x het idee gehad dat ik serieus werd genomen toen kaarte ik iets aan en binnen een uur zat ik in een call met CISO en wat externe security mensen omdat ze zich kapot schrokken

[Zyphlan]

Ik heb dit vaker gezien bij bedrijven: ze kiezen voor de optie van sms, omdat het gemakkelijk en vooral kosteneffectief is, en in de meeste gevallen ook voldoende dekking biedt.

Echter, op zichzelf is sms al behoorlijk onveilig.

Er zijn echter zorgen over de veiligheid van sms als tweestapsverificatie. Deze artikelen, hier (https://www.csoonline.com...0795/how-to-hack-2fa.html) en hier (https://www.vice.com/en/a...-dollars-sakari-netnumber), benadrukken de risico's en kwetsbaarheden die gepaard gaan met het gebruik van sms voor beveiligingsdoeleinden.

Houd in gedachten dat de SolarWinds-aanval werd ontdekt door een attente beveiligingsoperator die zich afvroeg waarom een medewerker een tweede telefoon wilde registreren voor multifactor-authenticatie. Dit zou impliceren dat de aanvaller identiteit, en specifiek MFA, als een aanvalsvector wilde benutten.

[Reactie gewijzigd door Zyphlan op 22 juli 2024 19:43]

[BytePhantomX]

SMS is in deze casus niet zozeer zwak, want sms verkeer is niet afgeluisterd. De zwakte zit in het feit dat je meerdere MFA methodes kan registreren als je al toegang hebt.

Niettemin is sms voor bedrijven als dit niet aan te raden en zou een phishing resistant MFA wenselijk zijn.

[Reactie gewijzigd door BytePhantomX op 22 juli 2024 19:43]

[beerse]

Toegegeven, mfa via sms is niet onveiliger dan via andere kanalen. Het is maar net wat er nog meer gebruikt wordt en welke time-out er op de mfa-code zit.

Maar sms, die via de mobiele telefoon, is heel goed af te luisteren: Als ik op 1 of andere manier de telecom provider weet te overtuigen dat ik een sim nodig heb voor een bepaald telefoonnummer, dan kan ik daarmee de sms van dat telefoonnummer afluisteren.

Daar naast is de versleuteling van sms zoals dat eind vorige eeuw als veilig werd beschouwd ondertussen niet meer zo veilig. Tel daarbij dat als een sms via andere operators loopt, bijvoorbeeld met internationaal verkeer (van bron naar telco) of roaming (van telco naar toestel) dan kan je betrekkelijk eenvoudig aan de (dus niet meer zo goed versleutelde) sms komen.

[Anoniem: 84997]

Interessante links! "Pass-the-cookie attacks" hoorde ik van toen linus-tech-tips was gehackt. Iemand z'n login daar was overgenomen door de cookies te kopiëren, om vervolgens streams te hosten.
Zie je maar dat met MFA je ook nog moet opletten.

[fastedje]

Je ziet inderdaad nog te veel dat SMS als default two-factor wordt gebruikt. Soms is het de enige two factor optie (zoals bij een redelijk grote SMIS oplossing of DigiD) en dat terwijl er prima gratis oplossingen zijn om b.v Google Authenticator te gebruiken.

[TheVivaldi]

Ik begrijp er niks meer van. De ene keer is sms voor alle bedrijven - zelfs hele grote - te duur en de andere keer is het ineens weer kosteneffectief…

[Reactie gewijzigd door TheVivaldi op 22 juli 2024 19:43]

[Zyphlan]

Het is kosteneffectief als je 2fa moet hebben en helaas ( het is volgens mij wel aan het veranderen) mag het vooral niet veel kosten van managment omdat het uiteindelijk in het verleden nog als kostenpost wordt gezien.

[Reactie gewijzigd door Zyphlan op 22 juli 2024 19:43]

[YannickSpinner]

NRC: "NXP heeft zijn systemen weliswaar afgeschermd met een extra code die via de telefoon wordt verstrekt, maar deze dubbele authenticatie omzeilen de hackers door telefoonnummers te wijzigen."

[The Zep Man]

Kennelijk is dan maar een enkele factor nodig om telefoonnummers te wijzigen. Dat is nog steeds geen volledige MFA-implementatie.

Bij een dekkende MFA-implementatie zijn meerdere factoren nodig om een (verloren) factor te registreren/herstellen/wijzigen/verwijderen.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 19:43]

[Sp3ci3s8472]

Mag ik aannemen dat dit dan 2FA via SMS is? Zo'n beetje de meest onveilige variant van 2FA.

[Hawkysoft]

Als je een telefoonnummer wilt wijzigen, moet je wel toegang hebben.. dus is er nog een doorgang

[ELKAY_]

OF er is dan geen juiste MFA implementatie OF er was toegang tot andere accounts waarmee dit is gerealiseerd. Dit kan natuurlijk niet terwijl MFA verplicht is.... zou het hele nu ervan in de ban doen.

[Nieuwteakersacc]

Als je gebruikt maakt van uitgelekte accountgegevens, ben je dan nog wel een hacker?

[Zyphlan]

On Topic: Keihard aanpakken. Bedrijven die gebruik maken van gestolen intellectueel eigendom moeten direct worden geconfronteerd met enorme invoerheffingen of zelfs totale blokkades. Dit is de enige manier om dit soort praktijken van de Chinese overheid tegen te gaan en deze regels zouden ook moeten gelden bij andere landen mocht dit plaatsvinden.

Waar zijn onze pro-China aanhangers die beweren dat er geen enkel bewijs is dat China zoiets ooit zou doen?

Het argument dat de Verenigde Staten dit ook doen, ligt ook voor jullie klaar .
Maar in dit geval is dat niet van toepassing, aangezien het hier gaat om bedrijfsspionage die wordt gedeeld met hun eigen bedrijven om internationaal de concurrentie aan te gaan.

[Reactie gewijzigd door Zyphlan op 22 juli 2024 19:43]

[Creesch]

Bedrijven die gebruik maken van gestolen intellectueel eigendom moeten direct worden geconfronteerd met enorme invoerheffingen of zelfs totale blokkades.

Cool, welke bedrijven zijn dit?

[Zyphlan]

https://foreignaffairs.ho...Intellectual-Property.pdf

Background: DuPont suspects its onetime Chinese partner is infringing its IP. DuPont attempts
to resolve the dispute through arbitration in China. During arbitration, Chinese authorities
launch an antitrust investigation into DuPont and raid its Shanghai office. Antitrust authorities
reportedly tell DuPont to drop its infringement case to resolve the antitrust investigation.

Micron is a world leader in dynamic random-access memory. Fujian Jinhua, a
competitor to Micron, works with employees from United Microelectronics Corporation (UMC), a
foundry that contracts for Micron, to steal Micron technology. In 2018, Fujian and UMC file a
patent infringement suit in China against Micron and receive a preliminary injunction from a
local court, blocking Micron products into China. China’s antitrust authorities then open a price
fixing investigation into Micron.

Chinese authorities require Huntsman, a chemical manufacturer, to submit its
products to a regulatory review to enter the market. The review demands proprietary information that is atypical in other jurisdictions. After the review, competitors in China are found
using Huntsman’s technology. Huntsman files a lawsuit against these companies. The Chinese
court hearing the case appoints a review panel, which has an engineer from the company
Huntsman was suing.

A Motorola engineer is stopped by customs carrying more than 1,000 documents,
including Motorola trade secrets, in her bag to help build wireless technology for Huawei.
Motorola files a lawsuit against Huawei. During the lawsuit, China’s authorities prolong their
antitrust merger review for Motorola. The merger is approved after Motorola drops its lawsuit
against Huawei.

[Reactie gewijzigd door Zyphlan op 22 juli 2024 19:43]

[Creesch]

Ik bedoel natuurlijk in de context van dit bericht. Hoe komen we daar achter, welke bedrijven zijn dat dan specifiek?

[SuperDre]

Dan zul je dus ook amerikaanse bedrijven als Nvidia, AMD, intel, Alphabet, Appel en Qualcomm ook moeten aanpakken want die hebben ook meer dan genoeg IP gejat dmv bedrijfspionage.
En ook nu is er geen hard bewijs dat de informatie daadwerkelijk door chinese bedrijven gebruikt wordt, Chimera verkoopt de informatie aan wie het wil. Omdat het een chinese groep is wil nog niet zeggen dat de chinese overheid er achter zit.

[Zyphlan]

Ik zie de bronnen tegemoet .

[SuperDre]

Wie zegt van een chinees bedrijf jatten? Jatten van een ander bedrijf is waar het om draait.

[SuperDre]

Grapjas. De chinese overheid doet wel degelijk wat tegen IP diefstal, maar met sancties zoals de VS doet geef ik ze groot gelijk als ze IP van die chips(makers) gaan schenden, de VS zou dat ook keihard doen als China IP sancties op zou gaan leggen, bv mbt G5 waarvan veel belangrijke patenten bij Huawei liggen.

[SuperDre]

Wat een dikke onzin dat zo de chinese tech sector groot is geworden, de amerikanen hebben net zo hard in het verleden zaken gestolen, net zoals de russen. De chinese tech sector heeft zelf ook meer dan genoeg bijgedragen aan de vooruitgang van onze technologieen. In dit geval gaat het ook om een hackersgroep die gewoon aan iedereen hun gestolen waar verkoopt.

[SuperDre]

Ach, hou toch eens op met doen alsof china heer en meester daarin is, de VS is daar minstens net zo goed in.

[kx22]

Toch is dit wel wat vriendelijker dan een land koloniseren, uitbuiten en de inwoners als slaven ronselen.
Of mag je dat niet meer zeggen na 100-200 jaar?

[mvrhrln]

je doelt op Mongolië ?