El hackeo realizado a la firma estadounidense SolarWinds, calificado como el ataque informático de mayor escala y más sofisticado jamás visto, puso a prueba los sistemas de seguridad de importantes firmas y agencias gubernamentales. ¿Qué tanto sabes del caso? En este artículo te damos contexto, detalles y datos clave para entenderlo todo acerca de qué es el ataque a SolarWinds.
Te va a interesar:
- Qué es la verificación en dos pasos y por qué deberías usarla
- Cómo saber si tienes virus en el iPhone
- Cómo eliminar un virus en Android
Actores y conceptos clave
- SolarWinds: compañía estadounidense desarrolladora de software e infraestructura de redes. Un agujero en su producto Orion, que centraliza la gestión de las plataformas de tecnologías de la información, sirvió como puerta de entrada para los atacantes.
- Cozy Bear o APT29: grupo de hackers rusos clasificado por Estados Unidos como una amenaza persistente. Sindicado como responsable del ataque a SolarWinds. Fue acusado intentar robar datos de vacunas anti-COVID-19. Se le vincula con el gobierno ruso. También son conocidos como Nobelium.
- SurnBust: nombre que recibió el malware que los atacantes insertaron en el código de Orion para acceder a sus víctimas.
- SuperNova: nombre de un segundo malware insertado en Orion, que incluye una herramienta de acceso remoto. Habría sido ejecutado por otro grupo.
Qué ocurrió con SolarWinds
El incidente fue reconocido de forma pública el 13 de diciembre de 2020 por la firma de seguridad informática estadounidense FireEye, que detectó actividades inusuales en su red. Sin embargo, las operaciones habían comenzado meses antes.
FireEye descubrió que los hackers insertaron el código malicioso SurnBust en las versiones 2019.4 a 2020.2.1 de Orion, que fueron publicadas entre marzo de 2020 y junio de 2020. Esto les permitía acceder de forma remota a los sistemas de más de 18,000 clientes de SolarWinds.
A medida que los clientes descargaban los paquetes de actualización de SolarWinds, los atacantes podían acceder a los sistemas de las empresas que ejecutaban estos productos. Los ataques pasaban inadvertidos por las víctimas, ya que los intrusos aparentaban ser empleados ya que contaban con certificados de confianza.
Una segunda oleada de ataques se registró el 19 de diciembre de 2020, bajo el nombre de SuperNova. El tercer incidente significativo fue dirigido a organizaciones no gubernamentales y tuvo lugar el 28 de mayo de 2021.
El incidente dejó en evidencia múltiples deficiencias de SolarWinds, como contraseñas débiles en sus servidores de actualización y la publicación de éstas en GitHub; la ausencia de protocolos de informática; y que había instado a sus clientes a deshabilitar herramientas anti-malware al momento de instalar los productos.
¿Por qué es preocupante?
El Centro para la Seguridad de Internet (CIS) asegura que el ciberataque es «excepcionalmente complejo y continúa evolucionando». El motivo es que los atacantes aleatorizaron sus acciones, limitando en alcance de los mecanismos de detección tradicionales, como la búsqueda de indicadores conocidos de compromiso (IOC).
Uno de los principales motivos de preocupación es el tipo de información que está en manos de los atacantes y lo que podría hacer con ella. SolarWinds ha reconocido que datos de unas 18,000 empresas de todo el mundo, además de las de agencias federales de Estados Unidos, podrían estar en manos de «una nación extranjera».
Otro motivo de preocupación es que los atacantes vulneraron sistemas de empresas como Microsoft, uno de los principales proveedores de productos informáticos para consumidores, o el laboratorio sueco AstraZeneca, fabricante de unas de las vacunas anti-COVID-19.
Aunque las pérdidas por parte de las firmas afectadas no han sido detalladas, se estima que el ataque podría costar a las compañías de seguros al menos $90 millones de dólares. «Las organizaciones afectadas deben prepararse para una solución compleja y difícil de este ataque”, señala el CIS.
¿Te podría afectar el ataque a SolarWinds?
Los usuarios comunes y corrientes con dificultad quedarán expuestos a las acciones de los atacantes de SolarWinds. Al menos no de forma directa, como ocurre con una ataque de phishing o cuando descargar un archivo infectado en tu computadora.
Sin embargo, sí es preocupante la vulnerabilidad a la que está expuesta la cadena de suministros de compañías que proporcionan servicios y software a los usuarios finales y, en especial, los riesgos que enfrentan agencias gubernamentales clave.
