The SolarWinds attack has quickly attained status as the biggest hack of 2020. By compromising widely-used IT management software suite SolarWinds Orion, threat actors were able to move across a broader supply chain network. This wide-reaching attack emphasizes the importance of a third-party risk management program. However, many questions about the attack’s impact and prevalence remain.​​ 

Aquí tienes un breve resumen de los primeros cinco días tras la divulgación del incidente:​​ 

December 13, 2020: As part of an internal breach investigation, FireEye indicates SolarWinds is at the root of a major supply chain attack, used in a global intrusion campaign affecting both public and private sector enterprises. Multiple security researchers, journalists, and companies respond, adding opinions and speculation into the emerging incident. Recorded Future’s threat research team, Insikt Group, identified key indicators of compromise from 11 different sources reporting on the emerging threat.​​ 

December 14, 2020: A SolarWinds filing with the U.S. Securities and Exchange Commission (SEC) indicates the company has more than 300,000 customers of which 33,000 are SolarWinds Orion product customers and believes fewer than 18,000 customers have an installation of the Orion product that contained the malicious code. Multiple government agencies are named as victims of the attack in a Reuters report.​​ 

December 15, 2020: Microsoft and industry partners seize a key domain used in SolarWinds hack to prevent ongoing or last ditch hack attempts. Insikt publishes a note synthesizing new information from five different sources and highlighting newly discovered indicators of compromise.​​ 

December 16, 2020: The RedDrip team from QiAnXin Technology release details on SUNBURST domain generation algorithm (DGA) and how it encodes data and exfiltrates the compromised hostname to the command and control servers. Insikt utilizes newly published tools across multiple sources to reverse SUNBURST’s domain generation algorithm (DGA) to identify affected hosts.​​ 

December 17, 2020: Unit42 speculates on a second SolarWinds Orion Vulnerability, SUPERNOVA. The threat continues to emerge but few details are known about it’s impact.​​ 

En curso: Las compañías públicas y privadas siguen identificando, detectando y protegiendo los sistemas afectados para mitigar el riesgo de un incidente de seguridad.​​ 

¿Qué puede decirnos la inteligencia?​​ 

Durante la última semana, empleamos varios métodos diferentes para comprender mejor el impacto de este ataque:​​ 

• Empleando una recopilación básica de inteligencia de código abierto, como buscar referencias de clientes y testimonios a través de motores de búsqueda, se podría elaborar una lista de clientes de SolarWinds. Un experimento rápido reveló una página de testimonios y una lista pública de clientes de SolarWinds que incluía 252 clientes de SolarWinds y uno de SolarWinds Orion. Aunque es barato, este método proporciona baja visibilidad y baja confianza. La inteligencia recopilada también puede ser obsoleta.​​ 
• Empleando nuestra colección técnica, Recorded Future correlacionó los datos de escaneo con nuestras ontologías de empresas de Inteligencia de Terceros. Identificamos 1.556 activos de Internet con indicadores de productos SolarWinds Orion en 372 compañías. Esto supone un salto adelante, que ofrece tanto una mayor visibilidad como un mayor nivel de confianza, ya que las correlaciones están directamente vinculadas al producto afectado.​​ 
• Empleando herramientas de código abierto, descodificamos el algoritmo de generación de dominios (DGA) SUNBURST e identificamos más de 1.400 fragmentos de nombres de host (y en aumento). Los fragmentos se compararon con nuestras ontologías de dominio, resultando en 286 coincidencias de dominios candidatos, relacionadas posteriormente con 47 compañías que probablemente se vieron afectadas por el incidente de seguridad. Por ahora no podemos determinar el alcance del compromiso de ninguna de las compañías afectadas.​​ 

¿Se queda aquí?​​ 

Las preocupaciones más inmediatas sobre SUNBURST comienzan a disipar a medida que los equipos de seguridad investigan su impacto en sus organizaciones. Sin embargo, aún queda una pregunta: ¿es esto solo el principio? Unit42 menciona una segunda vulnerabilidad de SolarWinds Orion, SUPERNOVA, y la está explorando más a fondo. Reportes no confirmados especulan que las credenciales de un servidor FTP de SolarWinds se filtraron en texto plano en GitHub y proporcionaron a los actores amenazantes un primer punto de entrada.​​ 

En respuesta a los recientes incidentes de seguridad, la Agencia de Seguridad Nacional (NSA) publicó un aviso de ciberseguridad sobre "Cómo detectar el abuso de los mecanismos de autenticación ". El aviso describe un escenario en el que un atacante accede a un entorno federado "local", elude los métodos de autenticación de inicio de sesión único (SSO) (SSO) y obtiene acceso ilícito a una amplia gama de activos de la organización. En individuo, el aviso ejemplifica una vulnerabilidad de día cero empleada para comprometer los servidores de VMware Access y VMware Identity Manager con ese fin. Si bien esto no es un defecto inherente a la gestión de identidades federadas, sí subraya la importancia de reforzar las configuraciones y los controles de gestión de identidades.​​ 

Si los actores de la amenaza detrás de SUNBURST emplearon credenciales expuestas para acceder y, en última instancia, subvertir los métodos de autenticación SSO, podría haber otra vulnerabilidad o puerta trasera a la vuelta de la esquina.​​ 

¿Qué significa esto?​​ 

Este ataque demostró que los ciberdelincuentes pueden infiltrar y de hecho lo harán en la cadena de suministro de software, y es probable que veamos este tipo de ataque en el futuro. Las organizaciones deben tener en cuenta la cadena de suministro digital como parte de su superficie de ataque. Además, aunque una compañía no dependa de SolarWinds Orion, aún puede estar expuesta a riesgos a través de terceros.​​ 

Es necesario adoptar un enfoque proactivo en la gestión de riesgos de terceros para anticipar a los incidentes de seguridad en la cadena de suministro. Sin embargo, las hojas de cálculo, los cuestionarios y el email suelen ser lentos y reactivos; no permiten a las compañías mantener al día con el panorama de amenazas en constante evolución.​​ 

Recorded Future Third-Party Intelligence proporciona una visibilidad automatizada a gran escala para identificar exposiciones al riesgo ocultas en el ecosistema de terceros, de modo que los equipos de seguridad y riesgos puedan priorizar y gestionar proactivamente el riesgo de terceros.​​ 

Recorded Future continúa monitorizando e investigando este incidente, y proporcionará actualizaciones según corresponda. Las organizaciones deben consultar las directrices publicadas por la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) del Departamento de Seguridad Nacional de EE. UU., las divulgaciones actualizadas de SolarWinds y los reportes de Insikt Group para obtener más información, incluyendo indicadores de compromiso y consejos de mitigación.​​