SolarWinds: Actualización de confianza lleva un espía

Una empresa instala una actualización en su herramienta de monitoreo. Esto es normalmente un gesto de mantenimiento y seguridad. En el caso de SolarWinds revelado en 2020, este hábito se convierte en una puerta de entrada: algunas actualizaciones de Orion contienen un componente malicioso llamado SUNBURST.

La intrusión se dirige a la cadena de fabricación de software. El código hostil está integrado antes de la distribución, lo que le permite viajar en un producto que los clientes tienen buenas razones para aceptar. La confianza depositada en el proveedor facilita así su llegada a las víctimas.

La presencia de una actualización atrapada no significa que cada cliente reciba la misma explotación. Los operadores eligen objetivos y persiguen ciertas intrusiones para obtener acceso, información o identidades adicionales. El número de instalaciones expuestas y el número de organizaciones activamente espiadas son diferentes.

Las investigaciones de FireEye revelan la campaña y conducen al análisis del componente comprometido. Las autoridades están emitiendo instrucciones de emergencia, incluida la desconexión de las instalaciones afectadas, mientras que los equipos buscan acceso persistente que los atacantes han podido obtener.

En abril de 2021, las autoridades estadounidenses y británicas atribuyeron esta operación al servicio de inteligencia exterior ruso, el SVR. Los investigadores lo vinculan con el actor típicamente seguido como APT29. Esta no es la historia de un rescate pagado para recuperar un servidor.

SolarWinds muestra por qué una defensa no puede limitarse a negar archivos obviamente sospechosos. El archivo peligroso puede llegar en el momento adecuado, a través del canal correcto, en nombre del proveedor correcto.