Esta semana la firma de ciberseguridad FireEye ha lanzado un
informe detallando en profundidad las técnicas utilizadas por los delincuentes informáticos
que atacaron SolarWinds.
Además del informe, los investigadores de FireEye han
lanzado una herramienta gratuita en GitHub llamada Azure AD Investigator, this
herramienta según indican los investigadores, podría llegar a detectar si los
delincuentes informáticos de SolarWinds llegaron a utilizar alguna de sus técnicas
dentro de sus redes.
Recordemos que el ataque recibido por parte de SolarWinds fue publicado
por primera vez el 13 December 2020, donde un actor amenazante consiguió
access to the SolarWinds software provider network and corrupted the application
Orion with malware.
The malware injected into Orion was Sunburst, which collected
information about the infected companies. Of the nearly 18.000 customers of
SolarWinds who installed the corrupted version of Orion, a small percentage
of them were selected by the attackers, to these chosen ones
a second strain of malware known as Teardrop was implemented. Once
infected with this second strain, the attackers used various techniques
to escalate access within the target's local network and to the resource of the
cloud, mainly focusing on breaching the infrastructure of
Microsoft 365.
The report published by FireEye contains 35
páginas e indica con gran detalle y profundidad como estos delincuentes informáticos
consiguieron violar las infraestructuras de sus víctimas sin ser detectados.
In addition, FireEye ha indicado que aun con el nivel de sofisticación y evasión utilizadas
por los delincuentes informáticos, las técnicas utilizadas por estos son detectables
y defendibles. Indican que fue la capacidad de FireEye para detectar estas técnicas
en sus propias redes lo que llevaron a la empresa a investigar una brecha
interna para posteriormente descubrir el incidente de SolarWinds.
Además de la aplicación lanzada por parte de FireEye,
CrowdStrike ha publicado la CRT mientras que la Agencia de Seguridad de Infraestructura
y Ciberseguridad de EE.UU (CISA) ha publicado Sparrow, dos herramientas con objetivos
similares de detección de actividad ilegal en redes comprometidas.