El hack de SolarWinds continúa propagándose: lo que necesita saber

Una agencia de inteligencia rusa está llevando a cabo una sofisticada campaña de malware, golpeando a varias agencias federales de EE. UU. Y empresas privadas, incluida Microsoft, según el Departamento de Estado, informes de noticias y análisis de empresas de seguridad. La violación masiva, que supuestamente incluía un sistema de correo electrónico utilizado por liderazgo senior en el Departamento del Tesoro, comenzó a principios de este año, cuando los piratas informáticos comprometieron el software creado por la empresa de ciberseguridad SolarWinds.

La empresa pirateada vende software que permite a una organización ver lo que sucede en sus redes informáticas. Los piratas informáticos insertaron código malicioso en una versión actualizada del software, llamada Orion. Alrededor de 18.000 clientes de SolarWinds instalaron las actualizaciones contaminadas en sus sistemas, dijo la compañía. El proceso de actualización comprometido ha tenido un efecto radical, cuya escala sigue creciendo a medida que surge nueva información.

Durante el fin de semana, el presidente Donald Trump flotó en Twitter la idea de que China podría estar detrás del ataque. Trump, que no proporcionó evidencia para respaldar la sugerencia de la participación china, etiquetó al secretario de Estado Mike Pompeo, quien había dicho anteriormente en una entrevista de radio que “podemos decir con bastante claridad que fueron los rusos los que participaron en esta actividad”.

En una declaración conjunta, las agencias de seguridad nacional de Estados Unidos han calificado la violación de “significativa y continua”. Aún no está claro cuántas agencias se ven afectadas o qué información pueden haber robado los piratas informáticos hasta ahora, pero según todos los informes, el malware es extremadamente poderoso. Según el análisis de Microsoft y la firma de seguridad FireEye, ambos fueron infectado, el malware brinda a los piratas informáticos un amplio alcance en los sistemas afectados.

Microsoft dijo que había identificado más de 40 clientes que fueron el objetivo del hack. Es probable que surja más información sobre el hackeo y sus consecuencias. Esto es lo que necesita saber sobre el hack de SolarWinds:

¿Cómo los piratas informáticos introdujeron malware en una actualización de software?

Los piratas informáticos lograron acceder a un sistema que SolarWinds usa para armar actualizaciones de su producto Orion, explicó la compañía en un archivo ante la SEC. A partir de ahí, insertaron código malicioso en actualizaciones de software legítimas. Esto se conoce como ataque a la cadena de suministro, porque infecta el software mientras se ensambla.

Es un gran golpe para los piratas informáticos llevar a cabo un ataque a la cadena de suministro, porque empaqueta su malware dentro de una pieza de software confiable. En lugar de tener que engañar a los objetivos individuales para que descarguen software malicioso con una campaña de phishing, los piratas informáticos podrían confiar en varias agencias gubernamentales y empresas para instalar la actualización de Orion cuando SolarWinds lo solicite.

El enfoque es especialmente poderoso en este caso porque, según se informa, cientos de miles de empresas y agencias gubernamentales de todo el mundo utilizan el software Orion. Con el lanzamiento de la actualización de software contaminada, la vasta lista de clientes de SolarWinds se convirtió en posibles objetivos de piratería.

¿Qué agencias gubernamentales se infectaron con el malware?

Según informes de Reuters, The Washington Post y The Wall Street Journal, el malware afectó a los Departamentos de Seguridad Nacional, Estado, Comercio y Tesoro de EE. UU., Así como a los Institutos Nacionales de Salud. Politico informó el jueves que los programas nucleares administrados por el Departamento de Energía de Estados Unidos y la Administración Nacional de Seguridad Nuclear también fueron atacados.

Aún no está claro qué información, si es que alguna, fue robada de las agencias federales, pero la cantidad de acceso parece ser amplia.

Aunque el Departamento de Energía y el Departamento de Comercio han reconocido los ataques a las fuentes de noticias, no hay confirmación oficial de que se hayan pirateado otras agencias federales específicas. Sin embargo, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. Emitió un aviso instando a las agencias federales a mitigar el malware, señalando que “actualmente está siendo explotado por actores maliciosos”.

En una declaración el jueves, el presidente electo Joe Biden dijo que su administración “hará que lidiar con esta violación sea una prioridad desde el momento en que asumamos el cargo”.

¿Por qué el truco es tan importante?

Además de obtener acceso a varios sistemas gubernamentales, los piratas informáticos convirtieron una actualización de software corriente en un arma. Esa arma se apuntó a miles de grupos, no solo a las agencias y empresas en las que los piratas informáticos se centraron después de instalar la actualización de Orion contaminada.

El presidente de Microsoft, Brad Smith, llamó a esto “un acto de imprudencia” en una publicación de blog de amplio alcance que exploró las ramificaciones del hack. No atribuyó directamente el ataque a Rusia, pero describió sus supuestas campañas de piratería anteriores como prueba de un conflicto cibernético cada vez más tenso.

“Esto no es solo un ataque a objetivos específicos”, dijo Smith, “sino a la confianza y confiabilidad de la infraestructura crítica del mundo para hacer avanzar la agencia de inteligencia de una nación”. Continuó pidiendo acuerdos internacionales para limitar la creación de herramientas de piratería que socavan la ciberseguridad global.

El exjefe de ciberseguridad de Facebook, Alex Stamos, dijo en Twitter que el hack podría provocar ataques a la cadena de suministro. volviéndose más común. Sin embargo, l cuestionó si el hack era algo fuera de lo común para una agencia de inteligencia con buenos recursos.

“Hasta ahora, toda la actividad que se ha discutido públicamente ha caído dentro de los límites de lo que Estados Unidos hace regularmente”, dijo Stamos.

¿Fueron las empresas privadas u otros gobiernos afectados por el malware?

Si. Microsoft confirmó el jueves que encontró indicadores del malware en sus sistemas, luego de confirmar varios días antes que la brecha estaba afectando a los clientes de sus servicios de ciberseguridad. Un informe de Reuters también dijo que los propios sistemas de Microsoft se utilizaron para promover la campaña de piratería, pero Microsoft negó esta afirmación a las agencias de noticias. El miércoles, la compañía comenzó a poner en cuarentena las versiones de Orion que se sabe contienen el malware, con el fin de aislar a los piratas informáticos de los sistemas de sus clientes.

FireEye también confirmó la semana pasada que estaba infectado con el malware y que también estaba viendo la infección en los sistemas de los clientes.

El lunes, The Wall Street Journal dijo que había descubierto al menos 24 empresas que habían instalado el software malicioso. Estos incluyen las empresas de tecnología Cisco, Intel, Nvidia, VMware y Belkin, según el Journal. Según los informes, los piratas informáticos también tuvieron acceso al Departamento de Hospitales Estatales de California y a la Universidad Estatal de Kent.

No está claro cuál de los otros clientes del sector privado de SolarWinds vio infecciones de malware. La lista de clientes de la compañía incluye grandes corporaciones, como AT&T, Procter & Gamble y McDonald’s. La empresa también cuenta como clientes con gobiernos y empresas privadas de todo el mundo. FireEye dice que muchos de esos clientes estaban infectados.

¿Qué sabemos sobre la participación rusa en el hackeo?

Pompeo atribuyó el viernes el ataque a Rusia. Eso se produjo después de que los medios de comunicación informaron durante la semana que funcionarios del gobierno dijeron que un grupo de piratas informáticos que se cree que es una agencia de inteligencia rusa es responsable de la campaña de malware. SolarWinds y las empresas de ciberseguridad han atribuido el ataque a “actores del estado-nación”, pero no han nombrado un país directamente.

En un comunicado en Facebook, la embajada rusa en los EE. UU. Negó su responsabilidad por la campaña de piratería SolarWinds. “Las actividades maliciosas en el espacio de la información contradicen los principios de la política exterior rusa, los intereses nacionales y nuestra comprensión de las relaciones interestatales”, dijo la embajada, y agregó: “Rusia no realiza operaciones ofensivas en el dominio cibernético”.

Apodado APT29 o CozyBear, el grupo de piratería al que apuntan los informes de noticias ha sido previamente acusado de atacar los sistemas de correo electrónico en el Departamento de Estado y la Casa Blanca durante la administración del presidente Barack Obama. También fue nombrado por las agencias de inteligencia estadounidenses como uno de los grupos que sistemas de correo electrónico infiltrados en el Comité Nacional Demócrata en 2015, pero la filtración de esos correos electrónicos no se atribuye a CozyBear. (Otra agencia rusa fue culpada de eso).

Más recientemente, EE. UU., Reino Unido y Canadá han identificado al grupo como responsable de los esfuerzos de piratería que intentaron acceder información sobre la investigación de la vacuna COVID-19.