Así fue como Microsoft, que también resultó afectada, se refirió a la instalación de un malware que primero atacó los sistemas de SolarWinds y luego a los de sus clientes de forma silenciosa, en una cadena que terminó infectando los sistemas de empresas ubicadas en Bélgica, Canadá, México, España, Reino Unido, Israel y Emiratos Árabes; y de las cuales, al menos 400 hacen parte de la lista de Fortune 500.

Mandiant, una empresa estadounidense considerada como una de las mejores en ciberseguridad, fue la que detectó la vulnerabilidad sobre la cual se especuló en un principio que había podido ser financiada o por el gobierno chino, o por el de Rusia. La compañía hizo el reporte en diciembre de ese mismo año y, desde entonces, se ubicó en la mira de gigantes como Microsoft y de Google quienes mostraron interés en comprarla. ¿La razón? El negocio de los servicios en la nube es lucrativo para ambas empresas, ambas compiten por dominarlo y ambas saben que solo ganará la que pueda garantizar el sistema más seguro para sus clientes.

Te puede interesar: La verificación en dos pasos de Google es todo un éxito

En un acuerdo de US$5.400 millones, en donde Google pagará US$ 23 por cada acción de Mandiant, la empresa de Alphabet finalmente adquirió a la compañía de ciberseguridad. En un comunicado citado por The Verge, el CEO de Google Cloud, Thomas Kurian celebró la compra asegurando que “hoy más que nunca las organizaciones están enfrentando retos sin precedentes de seguridad online, debido a la sofisticación de los ataques; pues aunque estos antes se limitaban a vulnerar los sistemas estatales, ahora se expanden a cualquier empresa de cualquier sector”.

Los servicios de Mandiant servirán de esta forma para fortalecer la seguridad en los servicios de la nube de Google, la cual le representa al gigante un negocio de más de US$ 19 mil millones anuales.

Imágenes: Photo by Mitchell Luo on Unsplash 

El 12 de diciembre de 2020 se encontró evidencia que una pieza de malware llamada <Sunburst/Sunspot> había sido inyectada en la plataforma Orion de SolarWinds, presumiblemente por un grupo de hacking (Turla APT) vinculado con el gobierno ruso. Dado que la tecnología de monitoreo y gestión remota de software de SolarWinds es ampliamente usada por grandes compañías y el mismo gobierno federal, este incidente de hacking rápidamente escaló a conflicto de espionaje y ciberguerra, de acuerdo con The Wall Street Journal.

También te puede interesar: ¿Cuáles son los sectores más vulnerables en ataques cibernéticos?

La cronología del ataque parece empezar en septiembre del 2019, con un primer ataque no detectado que consiguió vulnerar la infraestructura de desarrollo y distribución de software de SolarWinds®. Al parecer el ataque se concentró en los servicios de autenticación de Microsoft®365 y el directorio de Azure® para substraer algunas credenciales de usuarios. Con estas credenciales tomadas, un mes después consiguieron inyectar código en el producto estrella de SolarWinds® (Orion®), en una especie de ‘prueba de concepto’ que pasó sin ser detectada, ni por el área de infosec de SolarWinds®, ni por las sofisticadas herramientas ‘Einstein’ de detección de ciberamenazas del gobierno federal.

Una vez pudo el atacante incluir subrepticiamente código en la distribución de Orion®, al parecer estuvo hasta febrero de 2020 instalando un servicio de comando y control, con servidores en Europa y USA que imitaban bastante bien el tráfico normal de usuarios legítimos de SolarWinds®. Con las credenciales robadas del servicio de autenticación de Microsoft®, los atacantes no solo incluyeron código malicioso en el código base del producto Orion®, sino que también lograron suplantar usuarios de las compañías clientes de SolarWinds® en una seguidilla de ataques cuyo alcance y profundidad todavía está pendiente de determinar y que -es vox populi en el medio- afectó a decenas de organizaciones en Latinoamérica.

Un <supply chain attack>

Dado que este ataque se realizó vulnerando la tecnología de fabricación y distribución del software de SolarWinds® (i.e equivalente a la ‘cadena de distribución’ de una empresa comercial, aplicando a empresas fabricantes de software), se ha dado en llamar por sus similaridades un <supply chain attack>. De acuerdo con algunos de los análisis forenses publicados, cuando el malware SunSpot detectaba en el proceso de compilación e integración de Orion® la invocación del proceso MsBuild.exe, de las herramientas de desarrollo de VisualStudio® de Microsoft®, inyectaba antes de la compilación en el código fuente de Orion® herramientas de hacking como Cobald Strike, que terminaban instaladas en los sistemas de información de los clientes de SolarWinds®. Estas herramientas pasaban una temporada de letargo de un par de semanas, antes de empezar a catapultar información sensible de los usuarios que luego pasaban a randomware o a servidores de la dark-web.

Dadas las características de sigilo de operación del ataque, este permaneció más o menos indetectado durante una buena parte del 2020, hasta que uno de los empleados de la empresa de seguridad FireEye, víctima del ataque, notó un comportamiento extraño en los servidores y en un trabajo de cooperación entre las áreas de seguridad de la información, seguridad informática y tecnología y gracias a una revisión cuidadosa de los logs de acceso, FireEye detectó indicios del ataque. Solo hasta el 7 de diciembre del 2020, el Centro de Atención de Incidentes de Estados Unidos emitió una alerta, quizás tardía.

También te puede interesar: 58 % de las empresas ha sido víctima de ciberataques a diciembre de 2020.

Se estima un número de víctimas de más de 18,000 organizaciones, entre las que se cuenta Microsoft, Intel, Cisco, Nvidia, VMware, Belkin, FireEye, Deloitte, Mount Sinai Hospital, Ciena, NCR, SAP, Digital Sense, y los Departamentos de Commerce, Defense, Energy, Homeland Security, State, Treasury y Health. Sin embargo, el número final de víctimas sigue creciendo día a día y es posible que el número final pueda llegar a ser mucho más alto.

Precisamente una de las primeras ‘ordenes ejecutivas’ firmadas por el presidente Joe Biden tiene que ver con el manejo como nación el hack de SolarWinds, informa el portal Cnet.

Reflexiones de una ciberguerra

Aún sin saber el impacto final de ataque, es posible aventurar algunas reflexiones y moralejas provisionales que pueden ser útiles. La primera reflexión que podamos obtener tiene que ver con la misma naturaleza de los ataques <supply chain >. Durante mucho tiempo en seguridad de la información se creyó que la fuente de los ataques eran los usuarios negligentes y su actitud descuidada hacía los procedimientos definidos por infosec. Se decía que la fuente de los problemas era el usuario que descuidadamente instalaba malware o hacía click en enlaces a sitios problemáticos o era vulnerable a correos fishing. El ataque de SolarWinds® y en general cualquier ataque <supply chain> no apunta a los usuarios, apunta a la infraestructura de back-end y sus procesos de actualización de software. Quizás es el momento de ya no culpar más al usuario final e insistir en campañas de sensibilización, descuidando la infraestructura automática de actualización de la plataforma IT.

Una segunda reflexión tiene que ver con la forma en que el ataque se detectó. Es importante resaltar que el ataque no fue detectado con los procedimientos usuales de monitoreo que disparan una alarma ante el comportamiento sospechoso de algún usuario o ante la descarga de un malware o actividad inusual en la red. Ante estos ataques <supply chain> simplemente estos procedimientos permanecerían silentes. En un acucioso empleado de FireEye que se dio en el trabajo de revisar bitácoras históricas juntos con empleados de área de TI encontró irregularidades que lo llevarón a descubrir el ataque. Y esta es una moraleja muy importante: las áreas infosec más que ser ‘rectoras’ que emiten directrices de seguridad de la información, deben buscar participar activamente en la revisión de bitácoras de auditoría y en la elaboración de líneas de base de detección de anomalías.

También te puede interesar: empresas pelearán ciberguerra con RTF, la nueva coalición de empresas contra el ransomware. 

Esta recomendación de ‘visibilidad’ de la infraestructura de TI por parte del área infosec y el trabajo coordinado de las áreas de TI de software, de gestión de data centers, infosec y seguridad informática, es un tema todavía pendiente para muchas de las organizaciones en America Latina.

Finalmente, la cuarta y última reflexión tiene que ver on el nivel de sofisticación del ataque. Claramente es un ataque de ciberguerra que vulneró la <supply chain> de un fabricante de software (SolarWinds®) y que a través de este proveedor tuvo alcance en miles de organizaciones que incluían la tecnología de SolarWinds® en sus procesos de negocio. Quizás algunas de las organizaciones víctimas de este hack despertaron un día viéndose víctimas colaterales del fuego cruzado de un escenario de ciberguerra, del cual quizás no se sintieron nunca invitados.

Imagen: Pexels (Vía Pixabay)

Pero, ¿qué pasaría si algo comienza a fallar justo el día de una fiesta con tus amigos? ¿No te gustaría haberle hecho seguimiento y saber que solo cambiando o ajustando pequeñas cosas los problemas nunca se hubieran presentado?

Lo mismo sucede en las compañías, sin importar su tamaño. El monitoreo, administración y gestión de la infraestructura y servicios de Tecnologías de la Información (TI) se ha vuelto una constante necesidad para muchas empresas y entidades, independientemente del sector en el que se desenvuelvan.

Esto tiene como principal objetivo el diagnóstico, visibilidad y pronta solución de problemas de desempeño en servidores, aplicaciones, ambientes virtuales o soluciones de almacenamiento, entre otros servicios críticos, además de realizar planeación de capacidad, automatizar y tomar acciones proactivas; todo lo relacionado con la infraestructura de TI. Tomando el ejemplo de la casa de tus sueños, es asegurarte de que siempre disfrutarás de tranquilidad y entretenimiento sin importar las circunstancias.

El respaldo de tu infraestructura de TI

En las empresas, no hay nada mejor que contar con un paquete de administración y monitoreo de sistemas que ayude a hacer más eficientes las aplicaciones y componentes subyacentes de la infraestructura de TI y que, a su vez, facilite estas tareas al equipo de soporte y dueños de sistemas en las organizaciones.

En la casa de tus sueños sería como si tuvieras a todo un equipo de profesionales y sistemas siempre a tu lado para que ajuste el sistema de entretenimiento que se desconfiguró, que desconecte la lavadora para ahorrar energía, que revise que las cámaras web si transmiten de manera adecuada y que asegure que la conexión de Internet de tu televisor es óptima pues llegarás en la noche a ver una película en 4K vía streaming.

Para las compañías, un ejemplo de este tipo de soluciones es SolarWinds, ofrecida en Colombia a través de E-dea Networks SAS, la cual cuenta con cuatro componentes principales que permitirán a las empresas tener total control de su infraestructura de TI, es decir construir la casa de sus sueños y mantenerla siempre al día y en completa operatividad.

– El primero de ellos es un paquete de herramientas especializado que incluye el monitoreo de experiencia de usuario y rendimiento de sitios y aplicaciones web. Este brinda información detallada sobre tiempos de carga de un sitio web, componentes front-end, experiencia de usuario para transacciones completas y velocidad de cargue de páginas por ubicación geográfica.

– Otra de las soluciones incluidas en la suite de SolarWinds para sistemas y aplicaciones es el Server & Application Monitor (SAM), el cual se encarga de monitorear el estado e integridad del hardware de servidores de diferentes fabricantes y cientos de aplicaciones comerciales o ’in house’. Esta herramienta gestiona de forma proactiva el hardware y software de TI.

Además, cuenta con capacidades integradas de gestión de activos. Esto le permite, por ejemplo, monitorear disponibilidad y desempeño de servidores físicos, hosts y máquinas virtuales de cualquier fabricante. Finalmente, la herramienta soporta entornos de TI híbridos con supervisión de infraestructura AWS y Azure integrada y cuenta con la capacidad de ser implementada en cualquier proveedor en la nube con o sin agentes.

– La tercera solución del paquete es Virtualization Manager (VMAN), encargada del monitoreo de desempeño y administración para plataformas VMWare y HyperV, permitiendo obtener planes de capacidad, recomendaciones de configuración y de optimización, despliegue de máquinas virtuales, VDI y chargeback para solución de problemas y optimización de entornos de virtualización complejos. Es como utilizar una herramienta especializada para ’ver debajo del capó’ de todo el ambiente de virtualización.

Este tipo de servicios alerta sobre problemas de configuración y rendimiento en clusters virtuales, hosts y almacenes de datos. También incluye inteligencia accionable que provee recomendaciones para el óptimo funcionamiento de servidores de forma automática.

– Finalmente, la solución de Storage Resource Monitor (SRM) brinda visibilidad en tiempo real del rendimiento del almacenamiento, que permite automatizar la creación de mapas y dependencias de componentes que se presentan hacia los ambientes virtuales o servidores.

Así se obtiene visibilidad completa de las aplicaciones desde la capa de almacenamiento hasta la de presentación y, lo mejor de todo, es que es multi marca, es decir que soporta y brinda visibilidad a nivel de pools, arreglos, LUNs, volúmenes y data stores para fabricantes como Dell, EMC, NetApp, IBM, HP, Hitachi o Pure Storage.

Si quieres conocer más sobre el SolarWinds Systems Management Bundle, consulta aquí el sitio web de E-dea Networks.

Imágenes: E-dea Networks.