El 30% de las víctimas del «hackeo de SolarWinds» en realidad no usaron SolarWinds

Cuando la empresa de seguridad Malwarebytes anunció la semana pasada que había sido blanco del mismo atacante que comprometió el software Orion de SolarWinds, señaló que el ataque no utilizó SolarWinds en sí. Según Malwarebytes, el atacante había utilizado «otro vector de intrusión» para obtener acceso a un subconjunto limitado de correos electrónicos de la empresa.

Brandon Wales, director interino de la Agencia de Infraestructura y Ciberseguridad de EE. UU. (CISA), dijo que casi un tercio de las organizaciones atacadas no tenían conexión directa con SolarWinds.

[The attackers] accedieron a sus objetivos de varias maneras. Este adversario ha sido creativo… es absolutamente correcto que esta campaña no debe considerarse como la campaña de SolarWinds.

Muchos de los ataques se afianzaron inicialmente mediante la difusión de contraseñas para comprometer cuentas de correo electrónico individuales en organizaciones objetivo. Una vez que los atacantes tuvieron ese punto de apoyo inicial, utilizaron una variedad de complejos ataques de autenticación y escalada de privilegios para explotar fallas en los servicios en la nube de Microsoft. Otro de los objetivos de Advanced Persistent Threat (APT), la empresa de seguridad CrowdStrike, dijo que el atacante intentó sin éxito leer su correo electrónico aprovechando una cuenta comprometida de un revendedor de Microsoft con el que había trabajado la empresa.

Según The Wall Street Journal, SolarWinds ahora está investigando la posibilidad de que estas fallas de Microsoft fueran el primer vector de APT en su propia organización. En diciembre, Microsoft dijo que la APT en cuestión había accedido a su propia red corporativa y visto el código fuente interno, pero que «no encontró indicios de que nuestros sistemas se usaran para atacar a otros». En ese momento, Microsoft había identificado más de 40 ataques a sus clientes, un número que ha aumentado desde entonces.

El vicepresidente corporativo de seguridad, cumplimiento e identidad de Microsoft, Vasu Jakkal, dijo a ZDNet que la campaña «SolarWinds» no es una emergencia aislada tanto como la nueva normalidad, y dijo: «Estos ataques continuarán volviéndose más sofisticados. Entonces deberíamos esperar eso. Este no es el primero ni el último. Esto no es un caso atípico. Esta va a ser la norma «.