Explicado: Un ciberataque masivo en los EE. UU., Utilizando un novedoso conjunto de herramientas

Uno de los mayores ciberataques que ha tenido como objetivo agencias gubernamentales y empresas privadas de EE. UU., El 'hack de SolarWinds' está siendo visto como un probable esfuerzo global. ¿Cómo se llevó a cabo y qué tipo de datos se han visto comprometidos? ¿Por qué los funcionarios del gobierno y los políticos estadounidenses nombraron a Rusia?

El objetivo del ciberataque fue Orion, un software suministrado por la empresa SolarWinds. (Foto de Reuters)

El 'hack de SolarWinds', un ciberataque descubierto recientemente en los Estados Unidos, se ha convertido en uno de los el más grande de todos dirigido contra el gobierno de los Estados Unidos, sus agencias y varias otras empresas privadas. De hecho, es probable que se trate de un ciberataque global.

Fue descubierto por primera vez por la empresa estadounidense de ciberseguridad FireEye, y desde entonces siguen saliendo a la luz más desarrollos cada día. Se desconoce la magnitud del ciberataque, aunque se cree que el Tesoro de EE. UU., El Departamento de Seguridad Nacional, el Departamento de Comercio y partes del Pentágono se han visto afectados.

jack ma cathy zhang

En un artículo de opinión escrito para Los New York Times Thomas P Bossert, quien fue Asesor de Seguridad Nacional del presidente Donald Trump, nombró a Rusia para el ataque. Escribió pruebas en los puntos de ataque de SolarWinds a la agencia de inteligencia rusa conocida como SVR, cuyo oficio se encuentra entre los más avanzados del mundo. El Kremlin ha negado su participación.

Entonces, ¿qué es este 'truco de SolarWinds'?

La noticia del ciberataque técnicamente se conoció por primera vez el 8 de diciembre, cuando FireEye publicó un blog que detectaba un ataque en sus sistemas. La firma ayuda con la gestión de seguridad de varias grandes empresas privadas y agencias del gobierno federal.

El director ejecutivo de FireEye, Kevin Mandia, escribió en una entrada de blog que decía que la empresa fue atacada por un actor de amenazas altamente sofisticado, calificándolo de ataque patrocinado por el estado, aunque no mencionó a Rusia. Dijo que el ataque fue llevado a cabo por una nación con capacidades ofensivas de primer nivel y que el atacante buscó principalmente información relacionada con ciertos clientes del gobierno. También dijo que los métodos utilizados por los atacantes eran nuevos.

Luego, el 13 de diciembre, FireEye dijo que el ciberataque, al que denominó Campaña UNC2452, no estaba limitado a la empresa, sino que se había dirigido a varias organizaciones públicas y privadas de todo el mundo. La campaña probablemente comenzó en marzo de 2020 y ha estado en curso durante meses, según la publicación. Peor aún, aún se desconoce el alcance de los datos robados o comprometidos, dada la escala del ataque que aún se está descubriendo. Después de que los sistemas se vieron comprometidos, se produjeron movimientos laterales y robo de datos.

¿Cómo fueron atacadas tantas agencias y empresas del gobierno de EE. UU.?

A esto se le llama ataque de 'Cadena de suministro': en lugar de atacar directamente al gobierno federal oa la red de una organización privada, los piratas informáticos se dirigen a un proveedor externo, que les suministra software. En este caso, el objetivo era un software de gestión de TI llamado Orion, suministrado por la empresa con sede en Texas SolarWinds.

Orion ha sido un software dominante de SolarWinds con clientes, que incluyen a más de 33.000 empresas. SolarWinds dice que 18.000 de sus clientes se han visto afectados. Por cierto, la empresa ha eliminado la lista de clientes de sus sitios web oficiales.

Según la página, que también ha sido eliminada de los Archivos Web de Google, la lista incluye 425 empresas en Fortune 500, los 10 principales operadores de telecomunicaciones de Estados Unidos. Un informe del New York Times dijo que partes del Pentágono, los Centros para el Control y la Prevención de Enfermedades, el Departamento de Estado, el Departamento de Justicia y otros se vieron afectados.

Microsoft confirmó que ha encontrado evidencia del malware en sus sistemas, aunque agregó que no había evidencia de acceso a servicios de producción o datos de clientes, o que sus sistemas se usaron para atacar a otros. El presidente de Microsoft, Brad Smith, dijo que la compañía ha comenzado a notificar a más de 40 clientes que los atacantes apuntaron de manera más precisa y comprometida.

Un informe de Reuters dijo que incluso los correos electrónicos enviados por funcionarios del Departamento de Seguridad Nacional fueron monitoreados por los piratas informáticos.

¿Cómo obtuvieron acceso?

Según FireEye, los piratas informáticos obtuvieron acceso a las víctimas a través de actualizaciones troyanizadas del software de gestión y supervisión de TI Orion de SolarWinds. Básicamente, se aprovechó una actualización de software para instalar el malware 'Sunburst' en Orion, que luego fue instalado por más de 17.000 clientes.

FireEye dice que los atacantes se basaron en múltiples técnicas para evitar ser detectados y ocultar su actividad. El malware pudo acceder a los archivos del sistema. Lo que funcionó a favor del malware fue que pudo mezclarse con la actividad legítima de SolarWinds, según FireEye.

Una vez instalado, el malware dio a los piratas informáticos una entrada por la puerta trasera a los sistemas y redes de los clientes de SolarWinds. Más importante aún, el malware también pudo frustrar herramientas como antivirus que podían detectarlo.

¿Dónde entra Rusia?

En su artículo de opinión del NYT, Bossert nombró a Rusia y su agencia SVR, que tiene la capacidad para ejecutar el ataque de tal ingenio y escala.

Microsoft señala en su blog que este aspecto del ataque creó una vulnerabilidad en la cadena de suministro de importancia casi mundial, que llegó a muchas capitales nacionales importantes fuera de Rusia. Continúa agregando que los ataques sofisticados de Rusia se han vuelto comunes.

FireEye, sin embargo, aún no ha nombrado a Rusia como responsable y dijo que es una investigación en curso con el FBI, Microsoft y otros socios clave que no están nombrados.

andrew de patrimonio neto

¿Qué han dicho SolarWinds y el gobierno de EE. UU. Sobre el hack?

En este momento, SolarWinds recomienda que todos los clientes actualicen de inmediato la plataforma Orion existente, que tiene un parche para este malware. Si se descubre actividad de un atacante en un entorno, recomendamos realizar una investigación exhaustiva y diseñar y ejecutar una estrategia de remediación impulsada por los hallazgos de la investigación y los detalles del entorno afectado, ha dicho.

Aquellos que no puedan actualizar deben aislar los servidores de SolarWinds y esto debería incluir el bloqueo de todas las salidas de Internet de los servidores de SolarWinds. La sugerencia mínima es cambiar las contraseñas de las cuentas que tienen acceso a los servidores / infraestructura de SolarWinds.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de los Estados Unidos (CISA) ha emitido una Directiva de Emergencia 21-01, pidiendo a todas las agencias civiles federales que revisen sus redes en busca de indicadores de compromiso. Les ha pedido que desconecten o apaguen los productos SolarWinds Orion de inmediato.

El FBI, el CISA y la oficina del Director de Inteligencia Nacional emitieron una declaración conjunta y anunciaron lo que se llama el 'Grupo de Coordinación Unificada Cibernética (UCG) para coordinar la respuesta del gobierno a la crisis'. La declaración llama a esto una campaña de ciberseguridad significativa y continua.

La Casa Blanca y el presidente Donald Trump han guardado silencio. El senador Mitt Romney lo ha resumido mejor en sus comentarios al periodista Olivier Knox de la radio SiriusXM, donde comparó este ataque con el equivalente de bombarderos rusos volando sin ser detectados por todo el país exponiendo la debilidad de la guerra cibernética de los EE. UU. Dijo que el silencio y la inacción de la Casa Blanca eran imperdonables.

El senador demócrata Richard Blumenthal tuiteó: El ciberataque de Rusia me dejó profundamente alarmado, de hecho, francamente asustado.

El presidente electo Joe Biden dijo en un comunicado: Una buena defensa no es suficiente; Necesitamos interrumpir y disuadir a nuestros adversarios de emprender ataques cibernéticos importantes en primer lugar.

Compartir Con Tus Amigos: