Otro truco de SolarWinds Orion: Schneier sobre seguridad


Otro truco de SolarWinds Orion

Al mismo tiempo que los rusos estaban usando una actualización de SolarWinds con puerta trasera para atacar redes en todo el mundo, otro actor de amenazas, que se cree que es de origen chino, estaba usando una vulnerabilidad ya existente en Orion para penetrar redes:

Dos personas informadas sobre el caso dijeron que los investigadores del FBI descubrieron recientemente que el Centro Nacional de Finanzas, una agencia federal de nóminas dentro del Departamento de Agricultura de EE. UU., Se encontraba entre las organizaciones afectadas, lo que generó temores de que los datos sobre miles de empleados gubernamentales se hayan visto comprometidos.

[…]

Reuters no pudo establecer cuántas organizaciones se vieron comprometidas por la presunta operación china. Las fuentes, que hablaron bajo condición de anonimato para discutir las investigaciones en curso, dijeron que los atacantes utilizaron infraestructura informática y herramientas de piratería previamente implementadas por ciberespías chinos respaldados por el estado.

[…]

Mientras que los presuntos piratas informáticos rusos penetraron profundamente en la purple SolarWinds y escondieron una «puerta trasera» en las actualizaciones del software program de Orion que luego se enviaron a los clientes, el presunto grupo chino explotó un error separado en el código de Orion para ayudar a propagarse a través de las redes que ya habían comprometido. dijeron las fuentes.

Dos conclusiones: una, estamos aprendiendo sobre un lote de los ataques a la cadena de suministro en este momento. Dos, la terrible seguridad de SolarWinds es el resultado de una decisión empresarial consciente de reducir costos en nombre de las ganancias a corto plazo. Economista Matt Stoller escribe sobre esto:

Estas firmas de software propiedad de money privado torturan a los profesionales con malas experiencias de usuario y una mala atención al cliente en todo, desde application de estudio de yoga hasta TI de concesionarios de automóviles y el program « central &#39&#39 de pesadilla que ejecuta pequeños bancos y cooperativas de crédito, lo más cercano a la automatización de Workplace Espacio. Pero también degradan la calidad del producto al despedir o faltarle el respeto a los buenos trabajadores, invertir menos en buenas prácticas de seguridad o enviar trabajo al extranjero y pagar mal, lo que significa que sus productos son más propensos al espionaje. En otras palabras, las mismas prácticas descuidadas y corruptas que permitieron este hack masivo de ciberseguridad hicieron de Bravo un multimillonario. En cierto sentido, este truco, y muchos más similares, continuará sucediendo, siempre que hombres como Bravo se enriquezcan creando vulnerabilidades de seguridad para que los malos actores las exploten.

SolarWinds aumentó sus ganancias aumentando su riesgo de ciberseguridad y luego transfirió ese riesgo a sus clientes sin su conocimiento o consentimiento.

Publicado el 4 de febrero de 2021 a las 6:11 AM •
4 comentarios



Enlace a la noticia primary