SolarWinds contrata a la consultora de Chris Krebs, exdirector de la CISA, para ayudar con el hackeo

Cuando todavía sigue en curso la investigación del hackeo del software de actualizaciones Orion de SolarWinds, que tuvo como resultado una ingente brecha de seguridad en empresas y organismos oficiales de seguridad estadounidenses, la compañía ha decidido, según Zdnet, contratar para que les asesoren sobre la brecha a la consultora de seguridad que han puesto en marcha Chris Krebs, el exdirector de la Agencia de infraestructura de seguridad y ciberseguridad (CISA) de Estados Unidos, y Alex Stamos, el ex Responsable de seguridad de Facebook.

Según han comunicado sus responsables «hemos acudido a la experiencia de Chris Krebs y Alex Stamos para ayudarnos en la revisión y para que nos den los mejores consejos en nuestro camino para evolucionar hacia una empresa de desarrollo de software seguro líder de la industria«.

Krebs, que supervisó la seguridad de las elecciones presidenciales de 2020 y que fue despedido de su puesto por Donald Trump el pasado mes de noviembre, se encargó entre otras cosas durante su periodo como Director de la CISA de poner en marcha una web gubernamental que echaba por tierra las falsas acusaciones de fraude electoral. Su despido recibió el rechazo mayoritario de la comunidad de expertos en ciberseguridad, así como de varios legisladores y figuras públicas.

Paralelamente a este nombramiento, siguen los descubrimientos en torno a la brecha de seguridad de SolarWinds. El último, que quienes estuvieron detrás el ataque también recurrieron a métodos tan rudimentarios como el adivinado de contraseñas y el uso repetido de una misma contraseña en varias cuentas para intentar acceder a ella. Esto quiere decir que no siempre recurrieron a las actualizaciones de software que llevaban troyanos ni facilitaban el acceso a sistemas como su vector de acceso a entidades y empresas. Es más, ambos sistemas fueron los vectores de acceso iniciales para el ataque. Así lo han confirmado desde la CISA.

Una vez que los atacantes consiguieron acceso a redes internas o infraestructura cloud de las entidades y compañías atacadas, los hackers consiguieron derechos de administrador y pasaron a generar tokens de autenticación (OAuth) que les permitió acceder a otros recursos, tanto en local como en la nube, sin necesidad de escribir credenciales de acceso ni responder preguntas en sistemas de autenticación de varios factores.

Por otro lado, la CISA ha publicado una lista de consejos para buscar configuraciones cloud basadas en Microsoft para localizar rastros de la actividad del grupo atacante, y proceder a reparar los servidores.