La semana pasada se dio a conocer la noticia de que un adversario muy sofisticado había penetrado en la red de FireEye y había sustraído las herramientas de evaluación del «Red Team» de la empresa. Según se informa, el ataque está relacionado con un ataque a la cadena de suministro que afectó a organismos gubernamentales, empresas de consultoría, tecnológicas y de telecomunicaciones en toda Norteamérica, Europa, Asia y Oriente Medio.
Para hacerse una idea de lo que es capaz este conjunto de herramientas robadas, puede consultar lalista priorizada de CVEs que FireEye recomienda a las organizaciones abordar inmediatamente-en esencia, la lista de vulnerabilidades conocidas que FireEye (y ahora cualquier adversario con sus herramientas) puede aprovechar fácilmente. Según la lista, todo, desde Citrix a Terminal Services, pasando por Microsoft Exchange, Windows Endpoint y Microsoft Outlook, está en peligro. Particularmente alarmante, cerca de la parte superiorde la lista de prioridades es una vulnerabilidad NETLOGON que resulta en una escalada de privilegios de Microsoft Active Directory que da al atacante acceso de administrador de dominio. Si un atacante utiliza esta vulnerabilidad en particular, dada la naturaleza de Active Directory, el privilegio obtenido podría facilitar el acceso a cualquier cosa en su red.
Según las informaciones, el adversario se infiltró en FireEye, entre otros objetivos como el Tesoro de EE. UU. y el Departamento de Comercio, mediante «actualizaciones troyanizadas» para SolarWinds, un proveedor tecnológico que ayuda al Gobierno federal y a las empresas de la lista Fortune 500 a supervisar el estado de sus redes informáticas. Las actualizaciones distribuían un malware que FireEye denominó SUNBURST. Este último ataque a la cadena de suministro ha conmocionado a la comunidad informática, y con razón, teniendo en cuenta la amplia base de clientes de SolarWinds. En los documentos presentados ante la SEC el 14 de diciembre, SolarWinds afirmó que 18 000 clientes han instalado la actualización infectada con malware. La historia sigue desarrollándose y aún se desconoce el alcance de los daños.
En unaAl Jazeeraesa misma mañana, Richard Stiennon, analista jefe de investigación de IT-Harvest, comparó el ataque a la cadena de suministro con NotPetya, que se propagó de forma similar haciéndose pasar por una actualización de software legítima.NotPetya es fácilmente el ciberataque más destructivo hasta la fecha, causando10.000 millones de dólares en daños totalesen 2017, según funcionarios de la Casa Blanca. Al igual que muchas empresas de alto perfil afectadas por NotPetya, la mayor empresa de transporte marítimo del mundo, Maersk,pasó más de una semanarecuperando manualmente su Active Directory.
Active Directory está en el punto de mira de los atacantes
En primer lugar, la industria está de acuerdo en que FireEye ha respondido muy bien al incidente siendo extremadamente transparente sobre el robo deherramientas de Red Teamque contienen secuencias de comandos personalizadas, algunas herramientas de pirateo disponibles públicamente y otras desarrolladas a medida.
Según FireEye, no hay vulnerabilidades de día cero en las herramientas, por lo que todos los CVE mencionados cuentan con parches disponibles. Sin embargo, eso no garantiza que todos los sistemas, aplicaciones y plataformas afectados por la lista estén actualizados. Toma nota de la lista y asegúrate de que tu entorno esté al día.
De esta historia se pueden extraer algunas lecciones proactivas:
1. Los ciberataques aprovechan cada vez más las debilidades de la cadena de suministro como método eficaz de distribución de malware para lograr un impacto generalizado.
2. Los malos van más allá de las campañas de "rociar y rezar" y empiezan a ser extremadamente selectivos, atacando a los buenos y aprovechándose de cualquier propiedad intelectual (en este caso, herramientas internas de pirateo) para tomar la delantera.
3. Si una organización como FireEye, dedicada exclusivamente a la ciberseguridad, no está totalmente a salvo de los ataques, tu organización tampoco lo está.
4. Los sofisticados conjuntos de herramientas automatizadas pueden llegar fácilmente a manos de un atacante novato, convirtiéndolo en un adversario tan peligroso como alguien con años de experiencia en equipos rojos.
5. Windows y Active Directory son objetivos clave de los ciberataques modernos. La naturaleza centralizada del acceso que se pone a disposición de las cuentas de usuario con privilegios elevados convierte a Active Directory en el foco perfecto para los ciberataques. Por lo tanto, las organizaciones deben mantener un ojo vigilante sobre los cambios realizados en Active Directory, incluso poner en marcha medidas para supervisar continuamente los indicadores de exposición, evitar cambios que elevarían aún más el acceso a otras partes de su entorno, y estar preparados para recuperarse de ransomware y otros ataques a la integridad de los datos.
Aunque el ataque a FireEye no supone la aparición de herramientas o exploits nunca antes vistos, sí que pone de relieve la importancia de mantener el entorno actualizado con los parches correspondientes frente a las vulnerabilidades conocidas, así como el papel fundamental que desempeña Active Directory en los ciberataques actuales. Como guardián de las aplicaciones y los datos críticos, Active Directory se ha convertido en un objetivo principal de los ataques generalizados que han paralizado a las empresas en los últimos años. Al comprender en qué se centran los atacantes, deberías plantearte modificar tu estrategia de seguridad para reforzar tu defensa en torno a aquellas partes del entorno que resultan valiosas para ellos.
Dada la envergadura del ataque a la cadena de suministro de SolarWinds y las posteriores violaciones de organismos gubernamentales y empresas de alto perfil, es probable que veamos a más víctimas hacer revelaciones en los próximos días.Si tiene alguna pregunta sobre cómo proteger su Active Directory frente a la lista de vulnerabilidades publicada por FireEye o frente a cualquier otro ataque, no dude enponerse en contacto concon la gente de Semperis.
