In diesem Artikel über die Operation Aurora: Wie wurde die Operation genannt?
Die Operation Aurora war eine Reihe von Cyberangriffen, die von hochentwickelten, hartnäckigen Bedrohungen wie der Elderwood Group mit Sitz in Peking, China, durchgeführt wurden und Verbindungen zur Volksbefreiungsarmee hatten. Die Angriffe begannen Mitte 2009 und dauerten bis Dezember 2009 an. Google machte sie erstmals am 12. Januar 2010 in einem Blogpost öffentlich.

Der Angriff richtete sich gegen Dutzende anderer Unternehmen, von denen Adobe Systems, Akamai Technologies, Juniper Networks, und Rackspace öffentlich bestätigt haben, dass sie Ziel des Angriffs waren. Medienberichten zufolge waren auch Yahoo, Symantec, Northrop Grumman, Morgan Stanley und Dow Chemical unter den Zielen.

Als Folge des Angriffs erklärte Google in seinem Blog, dass es plant, eine völlig unzensierte Version seiner Suchmaschine in China zu betreiben, "wenn überhaupt, dann im Rahmen der Gesetze", und räumte ein, dass es China verlassen und seine chinesischen Büros schließen könnte, wenn dies nicht möglich ist. Offizielle chinesische Quellen behaupteten, dies sei Teil einer von der US-Regierung entwickelten Strategie.

Der Angriff wurde von Dmitri Alperovitch, Vizepräsident für Bedrohungsforschung beim Cybersicherheitsunternehmen McAfee, "Operation Aurora" genannt. Untersuchungen von McAfee Labs ergaben, dass "Aurora" Teil des Dateipfads auf dem Rechner des Angreifers war, der in zwei der Malware-Binaries enthalten war, die laut McAfee mit dem Angriff in Verbindung standen. "Wir glauben, dass der Name der interne Name war, den der/die Angreifer dieser Operation gegeben haben", sagte George Kurtz, Chief Technology Officer von McAfee, in einem Blogbeitrag.

Laut McAfee bestand das Hauptziel des Angriffs darin, sich Zugang zu den Quellcode-Repositories dieser Hightech-, Sicherheits- und Rüstungsunternehmen zu verschaffen und diese möglicherweise zu verändern. "[Die SCMs] waren weit offen", sagt Alperovitch. "Niemand hat je darüber nachgedacht, sie zu sichern, obwohl sie in vielerlei Hinsicht die Kronjuwelen der meisten dieser Unternehmen sind - viel wertvoller als finanzielle oder personenbezogene Daten, die sie vielleicht haben und für deren Schutz sie so viel Zeit und Mühe aufwenden."

Geschichte

Blumen vor dem Hauptsitz von Google China nach der Ankündigung, das Land zu verlassen
Am 12. Januar 2010 gab Google in seinem Blog bekannt, dass es Opfer eines Cyberangriffs geworden war. Das Unternehmen gab an, dass der Angriff Mitte Dezember erfolgte und aus China kam. Google gab an, dass mehr als 20 andere Unternehmen angegriffen worden waren; andere Quellen gaben an, dass mehr als 34 Organisationen betroffen waren. Als Folge des Angriffs erklärte Google, dass es seine Geschäfte in China überprüfe. Am selben Tag gab die Außenministerin der Vereinigten Staaten, Hillary Clinton, eine kurze Erklärung ab, in der sie die Angriffe verurteilte und eine Antwort von China forderte.

Am 13. Januar 2010 berichtete die Nachrichtenagentur All Headline News, dass der US-Kongress plant, die Vorwürfe von Google zu untersuchen, dass die chinesische Regierung den Dienst des Unternehmens genutzt hat, um Menschenrechtsaktivisten auszuspionieren.

In Peking legten Besucher Blumen vor dem Google-Büro ab. Diese wurden jedoch später entfernt, da ein chinesischer Sicherheitsbeamter dies als "illegalen Blumenschmuck" bezeichnete. Die chinesische Regierung hat noch keine offizielle Stellungnahme abgegeben, obwohl ein anonymer Beamter erklärte, dass China mehr Informationen über die Absichten von Google einholen wolle.

Beteiligte Angreifer
Weitere Informationen: Cyberkriegsführung durch China
Technische Beweise wie IP-Adressen, Domainnamen, Malware-Signaturen und andere Faktoren zeigen, dass Elderwood hinter dem Angriff Operation Aurora steckt. Die "Elderwood"-Gruppe wurde von Symantec benannt (nach einer von den Angreifern verwendeten Quellcode-Variable) und wird von Dell Secureworks als "Beijing Group" bezeichnet. Die Gruppe erlangte einen Teil des Quellcodes von Google sowie Zugang zu Informationen über chinesische Aktivisten. Elderwood hatte es auch auf zahlreiche andere Unternehmen aus den Bereichen Schifffahrt, Luftfahrt, Rüstung, Energie, Fertigung, Maschinenbau, Elektronik, Finanzen und Software abgesehen.

Die "APT"-Bezeichnung für die chinesischen Bedrohungsakteure, die für den Angriff auf Google verantwortlich sind, lautet APT17.

Elderwood hat sich darauf spezialisiert, Zulieferer der Verteidigungsindustrie anzugreifen und zu infiltrieren, die elektronische oder mechanische Komponenten für führende Verteidigungsunternehmen herstellen. Diese Firmen werden dann zu einem Cyber-"Sprungbrett", um Zugang zu hochrangigen Rüstungsunternehmen zu erhalten. Ein Angriffsverfahren, das Elderwood anwendet, besteht darin, legitime Websites zu infizieren, die von Mitarbeitern des Zielunternehmens besucht werden - ein so genannter "Wasserloch"-Angriff, so wie Löwen ein Wasserloch für ihre Beute auskundschaften. Elderwood infiziert diese weniger sicheren Websites mit Malware, die sich auf einen Computer herunterlädt, der die Website anklickt. Danach durchsucht die Gruppe das Netzwerk, mit dem der infizierte Computer verbunden ist, und lädt die E-Mails von Führungskräften sowie wichtige Dokumente über Unternehmenspläne, Entscheidungen, Übernahmen und Produktdesigns herunter.

Analyse des Angriffs
In seinem Blogbeitrag erklärte Google, dass ein Teil seines geistigen Eigentums gestohlen wurde. Es wird vermutet, dass die Angreifer daran interessiert waren, auf die Gmail-Konten chinesischer Dissidenten zuzugreifen. Laut der Financial Times wurden zwei Konten von Ai Weiwei angegriffen, deren Inhalte gelesen und kopiert; seine Bankkonten wurden von Agenten der Staatssicherheit untersucht, die behaupteten, gegen ihn werde wegen "nicht näher bezeichneter mutmaßlicher Verbrechen" ermittelt. Die Angreifer konnten jedoch nur Details zu zwei Konten einsehen, und diese Details beschränkten sich auf Dinge wie die Betreffzeile und das Erstellungsdatum der Konten.

Sicherheitsexperten bemerkten sofort, wie raffiniert der Angriff war. Zwei Tage nach Bekanntwerden des Angriffs berichtete McAfee, dass die Angreifer angebliche Zero-Day-Schwachstellen (die nicht behoben wurden und den Entwicklern der Zielsysteme zuvor unbekannt waren) im Internet Explorer ausgenutzt hatten, und nannte den Angriff "Operation Aurora". Eine Woche nach dem Bericht von McAfee veröffentlichte Microsoft einen Fix für das Problem und gab zu, dass die Sicherheitslücke bereits seit September bekannt war. Weitere Schwachstellen wurden in Perforce gefunden, der Software zur Quellcodeüberarbeitung, die Google zur Verwaltung seines Quellcodes verwendet.

Die iDefense Labs von VeriSign behaupteten, dass die Angriffe von "Agenten des chinesischen Staates oder deren Stellvertretern" verübt wurden.

Einem diplomatischen Telegramm der US-Botschaft in Peking zufolge berichtete eine chinesische Quelle, dass das chinesische Politbüro das Eindringen in die Computersysteme von Google gesteuert habe. Das Telegramm deutet darauf hin, dass der Angriff Teil einer koordinierten Kampagne war, die von "Regierungsmitarbeitern, Experten für öffentliche Sicherheit und von der chinesischen Regierung angeworbenen Internet-Outlaws" durchgeführt wurde. Der Bericht deutet darauf hin, dass es sich um einen Teil einer laufenden Kampagne handelte, bei der Angreifer "seit 2002 in Computer der amerikanischen Regierung und westlicher Verbündeter, des Dalai Lama und amerikanischer Unternehmen eingedrungen sind." Laut dem Bericht von The Guardian über das Leck wurden die Angriffe "von einem hochrangigen Mitglied des Politbüros orchestriert, das seinen eigenen Namen in die globale Version der Suchmaschine eintippte und Artikel fand, die ihn persönlich kritisierten."

Sobald das System eines Opfers kompromittiert war, stellte eine Backdoor-Verbindung, die sich als SSL-Verbindung tarnte, Verbindungen zu Kommando- und Kontrollservern in Illinois, Texas und Taiwan her, darunter auch Rechner, die unter gestohlenen Rackspace-Kundenkonten liefen. Der Rechner des Opfers begann dann, das geschützte Intranet des Unternehmens zu erkunden, in dem er sich befand, und suchte nach anderen verwundbaren Systemen sowie nach Quellen für geistiges Eigentum, insbesondere nach dem Inhalt von Quellcode-Repositories.

Es wird angenommen, dass die Angriffe am 4. Januar endgültig beendet wurden, als die Command-and-Control-Server abgeschaltet wurden, obwohl zu diesem Zeitpunkt nicht bekannt ist, ob die Angreifer sie absichtlich abgeschaltet haben. Die Angriffe fanden jedoch im Februar 2010 immer noch statt.

Reaktion und Nachwehen
Die deutsche, australische und französische Regierung haben nach dem Angriff öffentlich Warnungen an die Nutzer des Internet Explorers herausgegeben und ihnen geraten, zumindest bis zur Behebung der Sicherheitslücke alternative Browser zu verwenden. Die deutsche, australische und französische Regierung stuften alle Versionen des Internet Explorers als anfällig oder potenziell anfällig ein.

In einer Mitteilung vom 14. Januar 2010 erklärte Microsoft, dass Angreifer, die es auf Google und andere US-Unternehmen abgesehen hatten, Software verwendeten, die eine Lücke im Internet Explorer ausnutzt. Die Sicherheitslücke betrifft die Internet Explorer Versionen 6, 7 und 8 unter Windows 7, Vista, Windows XP, Server 2003, Server 2008 R2 sowie IE 6 Service Pack 1 unter Windows 2000 Service Pack 4.

Der bei dem Angriff verwendete Exploit-Code für den Internet Explorer wurde veröffentlicht und in das Penetrationstest-Tool Metasploit Framework integriert. Eine Kopie des Exploits wurde bei Wepawet hochgeladen, einem Dienst zur Erkennung und Analyse webbasierter Malware, der von der Computersicherheitsgruppe der University of California, Santa Barbara, betrieben wird. "Die Veröffentlichung des Exploit-Codes erhöht die Möglichkeit weit verbreiteter Angriffe, die die Sicherheitslücke im Internet Explorer ausnutzen", sagte George Kurtz, CTO von McAfee, über den Angriff. "Der nun öffentliche Computercode kann Cyberkriminellen helfen, Angriffe zu entwickeln, die die Schwachstelle nutzen, um Windows-Systeme zu kompromittieren."

Das Sicherheitsunternehmen Websense erklärte, es habe eine "begrenzte öffentliche Nutzung" der ungepatchten IE-Schwachstelle in Drive-by-Attacken gegen Nutzer festgestellt, die sich auf bösartige Websites verirrt haben. Laut Websense ist der entdeckte Angriffscode derselbe wie der, der letzte Woche veröffentlicht wurde.["Internet Explorer-Benutzer sind derzeit einer realen und gegenwärtigen Gefahr ausgesetzt, da die Schwachstelle öffentlich gemacht und der Angriffscode veröffentlicht wurde, was die Möglichkeit weit verbreiteter Angriffe erhöht", sagte George Kurtz, Chief Technology Officer von McAfee, in einem Blog-Update. Die Websense Security Labs bestätigten diese Spekulationen und entdeckten am 19. Januar weitere Websites, die den Exploit nutzen. Nach Berichten von Ahnlab wurde die zweite URL über das Instant Messenger-Netzwerk Misslee Messenger verbreitet, einem beliebten IM-Client in Südkorea.

Forscher haben Angriffscode erstellt, der die Schwachstelle im Internet Explorer 7 (IE7) und IE8 ausnutzt, selbst wenn die von Microsoft empfohlene Schutzmaßnahme (Data Execution Prevention (DEP)) aktiviert ist.[dubious - discuss] Laut Dino Dai Zovi, einem Forscher für Sicherheitslücken, "ist selbst der neueste IE8 nicht vor Angriffen sicher, wenn er unter Windows XP Service Pack 2 (SP2) oder früher oder unter Windows Vista RTM (Release to Manufacturing), der Version, die Microsoft im Januar 2007 ausgeliefert hat, läuft."

Microsoft gab zu, dass die genutzte Sicherheitslücke bereits seit September bekannt war. Die Arbeit an einem Update wurde mit Priorität behandelt und am Donnerstag, den 21. Januar 2010, veröffentlichte Microsoft einen Sicherheitspatch, der diese Schwachstelle, die darauf basierenden veröffentlichten Exploits und eine Reihe anderer privat gemeldeter Schwachstellen beheben sollte. Es wurde nicht angegeben, ob eine der letzteren von Exploitern genutzt oder veröffentlicht worden war oder ob diese in einem besonderen Zusammenhang mit der Aurora-Operation standen, aber das gesamte kumulative Update wurde für die meisten Windows-Versionen, einschließlich Windows 7, als kritisch eingestuft.

Sicherheitsforscher untersuchten die Angriffe weiter. Die Sicherheitsfirma HBGary veröffentlichte einen Bericht, in dem sie behauptete, einige wichtige Hinweise gefunden zu haben, die helfen könnten, den Entwickler des Codes zu identifizieren. Die Firma sagte auch, dass der Code in chinesischer Sprache verfasst wurde, aber nicht speziell mit einer Regierungsbehörde in Verbindung gebracht werden konnte.

Am 19. Februar 2010 behauptete ein Sicherheitsexperte, der den Cyberangriff auf Google untersuchte, dass die Hintermänner des Angriffs auch für die Cyberangriffe auf mehrere Fortune-100-Unternehmen in den letzten eineinhalb Jahren verantwortlich waren. Sie haben den Angriff auch zu seinem Ausgangspunkt zurückverfolgt, bei dem es sich offenbar um zwei chinesische Schulen handelt, die Shanghai Jiao Tong University und die Lanxiang Vocational School. Wie die New York Times berichtet, stehen beide Schulen in Verbindung mit der chinesischen Suchmaschine Baidu, einem Konkurrenten von Google China. Sowohl die Lanxiang Vocational University als auch die Jiaotong University haben die Anschuldigungen zurückgewiesen.

Im März 2010 identifizierte Symantec, das im Auftrag von Google an der Untersuchung des Angriffs beteiligt war, Shaoxing als Quelle von 21,3 % aller (12 Milliarden) bösartigen E-Mails, die weltweit verschickt wurden.

Google-Rückblick
Am 3. Oktober 2022 veröffentlichte Google auf YouTube eine sechsteilige Serie über die Ereignisse während der Operation Aurora, mit Kommentaren von Insidern, die mit dem Angriff zu tun hatten.
Der Angriff wurde von Dmitri Alperovitch, Vizepräsident für Bedrohungsforschung beim Cybersicherheitsunternehmen McAfee, "Operation Aurora" genannt. Untersuchungen von McAfee Labs ergaben, dass "Aurora" Teil des Dateipfads auf dem Rechner des Angreifers war, der in zwei der Malware-Binärdateien enthalten war, die laut McAfee mit dem Angriff in Verbindung standen. "Wir glauben, dass der Name der interne Name war, den der/die Angreifer dieser Operation gegeben haben", sagte George Kurtz, Chief Technology Officer von McAfee, in einem Blogbeitrag.
Given this article about Operation Aurora, How was the operation named?
Operation Aurora was a series of cyber attacks conducted by advanced persistent threats such as the Elderwood Group based in Beijing, China, with ties to the People's Liberation Army.[2] First publicly disclosed by Google on January 12, 2010, in a blog post,[1] the attacks began in mid-2009 and continued through December 2009.[3]

The attack was aimed at dozens of other organizations, of which Adobe Systems,[4] Akamai Technologies,[5] Juniper Networks,[6] and Rackspace[7] have publicly confirmed that they were targeted. According to media reports, Yahoo, Symantec, Northrop Grumman, Morgan Stanley,[8] and Dow Chemical[9] were also among the targets.

As a result of the attack, Google stated in its blog that it plans to operate a completely uncensored version of its search engine in China "within the law, if at all," and acknowledged that if this is not possible, it may leave China and close its Chinese offices.[1] Official Chinese sources claimed this was part of a strategy developed by the U.S. government.[10]

The attack was named "Operation Aurora" by Dmitri Alperovitch, Vice President of Threat Research at cybersecurity company McAfee. Research by McAfee Labs discovered that "Aurora" was part of the file path on the attacker's machine that was included in two of the malware binaries McAfee said were associated with the attack. "We believe the name was the internal name the attacker(s) gave to this operation," McAfee Chief Technology Officer George Kurtz said in a blog post.[11]

According to McAfee, the primary goal of the attack was to gain access to and potentially modify source code repositories at these high-tech, security, and defense contractor companies. "[The SCMs] were wide open," says Alperovitch. "No one ever thought about securing them, yet these were the crown jewels of most of these companies in many ways—much more valuable than any financial or personally identifiable data that they may have and spend so much time and effort protecting."[12]

History

Flowers left outside Google China's headquarters after its announcement it might leave the country
On January 12, 2010, Google revealed on its blog that it had been the victim of a cyber attack. The company said the attack occurred in mid-December and originated from China. Google stated that over 20 other companies had been attacked; other sources have since cited that more than 34 organizations were targeted.[9] As a result of the attack, Google said it was reviewing its business in China.[1] On the same day, United States Secretary of State Hillary Clinton issued a brief statement condemning the attacks and requesting a response from China.[13]

On January 13, 2010, the news agency All Headline News reported that the United States Congress plans to investigate Google's allegations that the Chinese government used the company's service to spy on human rights activists.[14]

In Beijing, visitors left flowers outside of Google's office. However, these were later removed, with a Chinese security guard stating that this was an "illegal flower tribute".[15] The Chinese government has yet to issue a formal response, although an anonymous official stated that China was seeking more information on Google's intentions.[16]

Attackers involved
Further information: Cyberwarfare by China
Technical evidence including IP addresses, domain names, malware signatures, and other factors, show Elderwood was behind the Operation Aurora attack. The "Elderwood" group was named by Symantec (after a source-code variable used by the attackers), and is referred to as the "Beijing Group" by Dell Secureworks. The group obtained some of Google's source code, as well as access to information about Chinese activists.[17] Elderwood also targeted numerous other companies in the shipping, aeronautics, arms, energy, manufacturing, engineering, electronics, financial, and software sectors.[2][18]

The "APT" designation for the Chinese threat actors responsible for attacking Google is APT17.[19]

Elderwood specializes in attacking and infiltrating second-tier defense industry suppliers that make electronic or mechanical components for top defense companies. Those firms then become a cyber "stepping stone" to gain access to top-tier defense contractors. One attack procedure used by Elderwood is to infect legitimate websites frequented by employees of the target company – a so-called "water hole" attack, just as lions stake out a watering hole for their prey. Elderwood infects these less-secure sites with malware that downloads to a computer that clicks on the site. After that, the group searches inside the network to which the infected computer is connected, finding and then downloading executives' e-mails and critical documents on company plans, decisions, acquisitions, and product designs.[2]

Attack analysis
In its blog posting, Google stated that some of its intellectual property had been stolen. It suggested that the attackers were interested in accessing Gmail accounts of Chinese dissidents. According to the Financial Times, two accounts used by Ai Weiwei had been attacked, their contents read and copied; his bank accounts were investigated by state security agents who claimed he was under investigation for "unspecified suspected crimes".[20] However, the attackers were only able to view details on two accounts and those details were limited to things such as the subject line and the accounts' creation date.[1]

Security experts immediately noted the sophistication of the attack.[11] Two days after the attack became public, McAfee reported that the attackers had exploited purported zero-day vulnerabilities (unfixed and previously unknown to the target system developers) in Internet Explorer and dubbed the attack "Operation Aurora". A week after the report by McAfee, Microsoft issued a fix for the issue,[21] and admitted that they had known about the security hole used since September.[22] Additional vulnerabilities were found in Perforce, the source code revision software used by Google to manage their source code.[23][24]

VeriSign's iDefense Labs claimed that the attacks were perpetrated by "agents of the Chinese state or proxies thereof".[25]

According to a diplomatic cable from the U.S. Embassy in Beijing, a Chinese source reported that the Chinese Politburo directed the intrusion into Google's computer systems. The cable suggested that the attack was part of a coordinated campaign executed by "government operatives, public security experts and Internet outlaws recruited by the Chinese government."[26] The report suggested that it was part of an ongoing campaign in which attackers have "broken into American government computers and those of Western allies, the Dalai Lama and American businesses since 2002."[27] According to The Guardian's reporting on the leak, the attacks were "orchestrated by a senior member of the Politburo who typed his own name into the global version of the search engine and found articles criticising him personally."[28]

Once a victim's system was compromised, a backdoor connection that masqueraded as an SSL connection made connections to command and control servers running in Illinois, Texas, and Taiwan, including machines that were running under stolen Rackspace customer accounts. The victim's machine then began exploring the protected corporate intranet that it was a part of, searching for other vulnerable systems as well as sources of intellectual property, specifically the contents of source code repositories.

The attacks were thought to have definitively ended on Jan 4 when the command and control servers were taken down, although it is not known at this point whether or not the attackers intentionally shut them down.[29] However, the attacks were still occurring as of February 2010.[3]

Response and aftermath
The German, Australian, and French governments publicly issued warnings to users of Internet Explorer after the attack, advising them to use alternative browsers at least until a fix for the security hole was made.[30][31][32] The German, Australian, and French governments considered all versions of Internet Explorer vulnerable or potentially vulnerable.[33][34]

In an advisory on January 14, 2010, Microsoft said that attackers targeting Google and other U.S. companies used software that exploits a hole in Internet Explorer. The vulnerability affects Internet Explorer versions 6, 7, and 8 on Windows 7, Vista, Windows XP, Server 2003, Server 2008 R2, as well as IE 6 Service Pack 1 on Windows 2000 Service Pack 4.[35]

The Internet Explorer exploit code used in the attack has been released into the public domain, and has been incorporated into the Metasploit Framework penetration testing tool. A copy of the exploit was uploaded to Wepawet, a service for detecting and analyzing web-based malware operated by the computer security group at the University of California, Santa Barbara. "The public release of the exploit code increases the possibility of widespread attacks using the Internet Explorer vulnerability," said George Kurtz, CTO of McAfee, of the attack. "The now public computer code may help cybercriminals craft attacks that use the vulnerability to compromise Windows systems."[36]

Security company Websense said it identified "limited public use" of the unpatched IE vulnerability in drive-by attacks against users who strayed onto malicious Web sites.[37] According to Websense, the attack code it spotted is the same as the exploit that went public last week.[clarification needed] "Internet Explorer users currently face a real and present danger due to the public disclosure of the vulnerability and release of attack code, increasing the possibility of widespread attacks," said George Kurtz, chief technology officer of McAfee, in a blog update.[38] Confirming this speculation, Websense Security Labs identified additional sites using the exploit on January 19.[39] According to reports from Ahnlab, the second URL was spread through the Instant Messenger network Misslee Messenger, a popular IM client in South Korea.[39]

Researchers have created attack code that exploits the vulnerability in Internet Explorer 7 (IE7) and IE8—even when Microsoft's recommended defensive measure (Data Execution Prevention (DEP)) is turned on.[dubious – discuss] According to Dino Dai Zovi, a security vulnerability researcher, "even the newest IE8 isn't safe from attack if it's running on Windows XP Service Pack 2 (SP2) or earlier, or on Windows Vista RTM (release to manufacturing), the version Microsoft shipped in January 2007."[40]

Microsoft admitted that the security hole used had been known to them since September.[22] Work on an update was prioritized[41] and on Thursday, January 21, 2010, Microsoft released a security patch aiming to counter this weakness, the published exploits based on it and a number of other privately reported vulnerabilities.[42] They did not state if any of the latter had been used or published by exploiters or whether these had any particular relation to the Aurora operation, but the entire cumulative update was termed critical for most versions of Windows, including Windows 7.

Security researchers continued to investigate the attacks. HBGary, a security firm, released a report in which they claimed to have found some significant markers that might help identify the code developer. The firm also said that the code was Chinese language based but could not be specifically tied to any government entity.[43]

On February 19, 2010, a security expert investigating the cyber-attack on Google, has claimed that the people behind the attack were also responsible for the cyber-attacks made on several Fortune 100 companies in the past one and a half years. They have also tracked the attack back to its point of origin, which seems to be two Chinese schools, Shanghai Jiao Tong University and Lanxiang Vocational School.[44] As highlighted by The New York Times, both of these schools have ties with the Chinese search engine Baidu, a rival of Google China.[45] Both Lanxiang Vocational and Jiaotong University have denied the allegation.[46][47]

In March 2010, Symantec, which was helping investigate the attack for Google, identified Shaoxing as the source of 21.3% of all (12 billion) malicious emails sent throughout the world.[48]

Google retrospective
On October 3, 2022, Google on YouTube released a six-episode series[49] covering the events that occurred during Operation Aurora, with commentary from insiders who dealt with the attack, though the series primary focus was to reassure the Google-using public that measures are in place to counter hacking attempts.
The attack was named "Operation Aurora" by Dmitri Alperovitch, Vice President of Threat Research at cybersecurity company McAfee. Research by McAfee Labs discovered that "Aurora" was part of the file path on the attacker's machine that was included in two of the malware binaries McAfee said were associated with the attack. "We believe the name was the internal name the attacker(s) gave to this operation," McAfee Chief Technology Officer George Kurtz said in a blog post.