SolarWinds confirma que el ataque a la cadena de suministro comenzó en 2019

Después de mucha especulación sobre el tiempo de permanencia involucrado en el ataque a la cadena de suministro de SolarWinds, el proveedor de administración de TI confirmó que la violación comenzó desde septiembre de 2019.

El presidente y director ejecutivo de SolarWinds, Sudhakar Ramakrishna, publicó una actualización el lunes 11 sobre el ataque a la cadena de suministro en el que los actores de amenazas de estado-nación comprometieron numerosas empresas de alto perfil y agencias gubernamentales a través de malware insertado en actualizaciones de software. En la publicación, Ramakrishna proporcionó una cronología detallada que fecha la violación inicial contra SolarWinds.

"Nuestro cronograma actual para este incidente comienza en septiembre de 2019, que es la primera actividad sospechosa en nuestros sistemas internos identificada por nuestros equipos forenses en el curso de sus investigaciones actuales", escribió en la actualización.

Antes de esta publicación, los investigadores de seguridad creían, según la evidencia técnica, que los atacantes podrían haber violado SolarWinds por primera vez a fines de 2019. Después de que los actores de amenazas violaron inicialmente SolarWinds el 4 de septiembre, realizaron inyecciones de código de prueba hasta noviembre. El malware Sunburst se implementó en febrero de 2020 y, en junio, los actores de amenazas eliminaron el malware Sunburst del entorno de SolarWinds.

"Los perpetradores pasaron desapercibidos y eliminaron el código malicioso SUNBURST de nuestro entorno en junio de 2020. Durante ese tiempo, hasta el día de hoy, SolarWinds investigó varias vulnerabilidades en su plataforma Orion. Esto remedió o inició el proceso de reparación de vulnerabilidades, un proceso regular que continúa. Sin embargo, hasta diciembre de 2020, la compañía no identificó ninguna vulnerabilidad como lo que ahora conocemos como SUNBURST", se lee en la publicación.

Ramakrishna también dijo que el equipo de investigación, que incluye a CrowdStrike y KPMG, descubrió "una fuente de inyección de código malicioso muy sofisticada y novedosa" que los actores de amenazas de estado-nación utilizaron para colocar la puerta trasera Sunburst en la plataforma de software Orion. Ramakrishna destacó una publicación complementaria de CrowdStrike sobre el descubrimiento.

Según la línea de tiempo actualizada, SolarWinds se enteró del ataque el 12 de diciembre antes de hacerlo público dos días después.

En una actualización anterior de SolarWinds, la compañía mencionó que potencialmente podría haber otras víctimas, y Ramakrishna reiteró esto en la publicación del lunes, diciendo: "Nuestra preocupación es que en este momento pueden existir procesos similares en entornos de desarrollo de software en otras compañías en todo el mundo.”

Nuestra publicación hermana SearchSecurity se puso en contacto con SolarWinds para obtener una aclaración sobre este punto, pero SolarWinds no dio respuesta hasta el momento de publicar este artículo.