SolarWinds dice que tiene más de 320.000 clientes, incluyendo:

• More than 425 of the U.S. Fortune 500
• All ten of the top ten US telecommunications companies
• All five branches of the U.S. military
• All five of the top five U.S. accounting firms
• The Pentagon U.S.
• The State Department U.S.
• The National Security Agency (NSA)
• The Department of Justice U.S.
• The White House U.S.
• El sistema Dominion Voting Systems también usa SolarWinds, de acuerdo a su página web.

Según SolarWinds, "solo" 18.000 clientes se vieron afectados por una versión troyanizada pero esta nueva cadena de ataques a través de Solawinds abre un nuevo y completo panorama de otras posibles víctimas.

Ataque de cadena Suministro

Un ataque a la cadena de suministro se produce cuando el software es creado y publicado por proveedores de confianza. Estas aplicaciones y actualizaciones están firmadas, por lo que se presupone una legitimidad del ejecutable, y son instaladas automáticamente en todos los clientes que se requieran actualización.

Miembros del grupo hacker se habrían colado en los sistemas de las agencias sin ser detectados alterando actualizaciones publicadas por la compañía tecnológica SolarWinds, que da servicio a la rama ejecutiva de clientes gubernamentales, así como a diversos servicios militares y de inteligencia. Este truco, al que habitualmente se conoce como «ataque de cadena de suministro», funciona escondiendo código malicioso en actualizaciones de software legítimas facilitados a los objetivos por terceros.

Agencias gubernamentales de EE. UU afectadas:

• Departamento del Tesoro de Estados Unidos
• La Administración Nacional de Telecomunicaciones e Información (NTIA) del Departamento de Comercio de EE. UU.
• Institutos Nacionales de Salud del Departamento de Salud (NIH)
• La Agencia de Ciberseguridad e Infraestructura (CISA)
• El Departamento de Seguridad Nacional (DHS)
• Departamento de Estado de EE. UU.
• La Administración Nacional de Seguridad Nuclear (NNSA
• El Departamento de Energía de EE. UU. (DOE)
• Tres estados de EE. UU.
• Ciudad de Austin

 Lista de infectados con backdoor de SolarWinds / Sunburst

Varios investigadores de seguridad y equipos de investigación han publicado durante el fin de semana listas que van desde 100 a 280 organizaciones que instalaron una versión troyanizada de la plataforma SolarWinds Orion y tenían sus sistemas internos infectados con el malware Sunburst. La lista incluye los nombres de empresas de tecnología, gobiernos locales, universidades, hospitales, bancos y proveedores de telecomunicaciones.

Los nombres más importantes en esta lista incluyen a Cisco, Intel, Cox Communications, Deloitte, Nvidia, Optimizely y Digital Sense. También se cree que MediaTek, una de las empresas de semiconductores más grandes del mundo, se ha visto afectada; aunque los investigadores de seguridad aún no están al 100% en su inclusión en sus listas.

 Descifrando los subdominios de Sunburst 

Según una investigación publicada la semana pasada, Sunburst enviaría los datos que recopiló de una red infectada a una URL de servidor C&C que era única por víctima.

Esta URL única era un subdominio para avsvmcloud[.]com y contenía cuatro partes, donde la primera era una cadena de aspecto aleatorio. Pero los investigadores de seguridad dijeron que esta cadena no era realmente única, sino que contenía el nombre codificado del dominio de la red local de la víctima.

Gráfico funcionamiento Solorigate

• Analizando Solorigate, el archivo DLL comprometido que inició un ciberataque sofisticado, y cómo Microsoft Defender ayuda a proteger a los clientes
  

Fuentes:

https://blog.segu-info.com.ar/2020/12/microsoft-y-fireeye-confirman-ataque.html

https://www.muycomputerpro.com/2020/12/14/hacker-rusia-emails-departamentos-justicia-tesoro

https://unaaldia.hispasec.com/2020/12/solarwinds-sufre-un-ataque-de-cadena-de-suministro.html