Resumen

  • La campaña de Orion tuvo éxito porque los atacantes comprometieron un proceso de producción de software, insertaron SUNBURST durante las compilaciones automatizadas y permitieron que la maquinaria normal de firma y distribución de SolarWinds entregara el componente modificado. Una firma válida autenticó el proceso de lanzamiento comprometido; no estableció de forma independiente que el código resultante coincidiera con un estado de fuente aprobado.
  • Menos de 18.000 clientes pueden haber obtenido versiones afectadas, pero esa cifra no es un recuento de organizaciones penetradas en operaciones posteriores. Estimaciones públicas posteriores situaron los compromisos posteriores confirmados o evaluados en nueve agencias federales estadounidenses y menos de 100 organizaciones no gubernamentales, mientras que SolarWinds estimó por separado que menos de 100 clientes fueron hackeados a través de SUNBURST.
  • El Servicio de Inteligencia Exterior de Rusia es responsable de la operación de espionaje. Sin embargo, SolarWinds controlaba el entorno de compilación, la procedencia de las versiones, la ruta de firma y la arquitectura del producto que convirtió un compromiso interno en código confiable en los sitios de los clientes. Los clientes y los compradores gubernamentales controlaban la segmentación, el registro, el endurecimiento de identidades, las adquisiciones y la recuperación. La rendición de cuentas pertenece a cada parte por las salvaguardas que realmente podía operar.
  • El registro legal es más limitado que el registro operativo. La SEC demandó a SolarWinds y a su director de seguridad de la información en 2023, un tribunal federal desestimó la mayoría de las reclamaciones en 2024, y la SEC desestimó la acción restante con perjuicio en noviembre de 2025. Esta historia no prueba las alegaciones originales de la SEC ni establece que todas las decisiones de seguridad de compilación fueran adecuadas; muestra por qué la prevenibilidad técnica, la ley de divulgación y la responsabilidad legal final deben analizarse por separado.

La actualización hizo exactamente lo que la infraestructura de confianza le indicó

El incidente de SolarWinds a menudo se describe como una actualización de software envenenada. Esa frase captura el método de entrega, pero puede hacer que la falla suene como malware ordinario oculto dentro de un instalador. El hecho más trascendental es que la actualización afectada se produjo y distribuyó a través de la maquinaria legítima de lanzamiento del proveedor. Los administradores no tuvieron que deshabilitar la verificación de firmas, visitar un sitio de descarga falsificado ni aceptar un ejecutable sin firmar. El componente hostil se incluyó en un paquete de SolarWinds Orion y estaba firmado digitalmente.

Esa diferencia cambia el análisis de responsabilidad. La firma de software se entiende comúnmente como un control sobre el origen y la integridad en tránsito. Si un paquete cambia después de la firma, la verificación de la firma debería fallar. Pero la firma por sí sola no prueba que la fuente seleccionada para la compilación fuera autorizada, que el compilador se ejecutara en un entorno limpio, que un trabajador de compilación no hubiera sido modificado, o que el artefacto correspondiera a lo que los revisores de código aprobaron.

Cuando un atacante actúa antes de que se aplique la firma, la firma puede dar fe fielmente de un resultado ya comprometido.

La divulgación técnica original de SUNBURST de Mandiant documentó un complemento de Orion firmado por SolarWinds que contenía una puerta trasera. El componente podía esperar hasta aproximadamente dos semanas, perfilar su entorno, comunicarse a través de patrones de DNS y HTTP diseñados para parecerse al tráfico legítimo de Orion, y recuperar comandos solo después de que el atacante seleccionara una víctima. El implante inicial estaba diseñado para ser silencioso, selectivo y compatible con el producto anfitrión. Su propósito no era romper todas las instalaciones a la vez.

Su propósito era colocar una opción creíble dentro de muchas redes y ejercer solo un subconjunto pequeño.

Es por esto que el evento pertenece a un registro de dependencia en la nube y continuidad pública aunque Orion generalmente se instalara en las instalaciones del cliente. Orion monitoreaba y gestionaba infraestructura en entornos locales, en la nube e híbridos. La actividad posterior podía alcanzar la identidad federada y los recursos de Microsoft 365. La relación de confianza funcionaba como una dependencia de servicio: los clientes dependían de un producto de proveedor mantenido continuamente, aceptaban actualizaciones producidas por el proveedor y colocaban el software donde pudiera observar o administrar sistemas importantes.

La ubicación del ejecutable no eliminó la dependencia de la fábrica de software remota que lo produjo.

Tampoco el daño público principal fue una interrupción convencional. Los sistemas de correo electrónico y operativos federales no dejaron de funcionar en un día visible. El compromiso en cambio dañó la confidencialidad, la garantía de identidad, la confianza en la evidencia y la capacidad de saber qué comunicaciones o decisiones habían sido observadas. La continuidad del sector público incluye la capacidad de realizar negocios gubernamentales a través de sistemas cuya confianza puede defenderse. Una red puede permanecer disponible mientras la función pública que respalda se vuelve estratégicamente expuesta.

Lo que establece el registro público

El relato más sólido proviene de fuentes con diferentes incentivos institucionales: las divulgaciones de incidentes y presentaciones de valores de SolarWinds; los análisis técnicos de CrowdStrike y Mandiant; los registros de CISA, NSA, FBI y agencias afectadas; la revisión de la GAO sobre la respuesta federal; testimonios del Congreso; y el expediente judicial posterior. No responden todas las preguntas, pero establecen varios hechos centrales.

En primer lugar, un actor avanzado mantuvo acceso al entorno de SolarWinds el tiempo suficiente para estudiar el proceso de producción de Orion. La actualización investigativa de SolarWinds de mayo de 2021 dijo que la empresa no pudo determinar con precisión cuándo o cómo ocurrió la entrada inicial. Reportó evidencia de credenciales comprometidas y acceso persistente a su entorno de desarrollo de software y sistemas internos, incluido Microsoft 365, durante al menos nueve meses antes de una prueba de ejecución en octubre de 2019. La empresa limitó las posibles rutas iniciales a un día cero de terceros, fuerza bruta como pulverización de contraseñas o ingeniería social, pero no afirmó haber probado una.

En segundo lugar, el cambio hostil se realizó en el entorno de compilación automatizado, no se confirmó como una modificación permanente en el repositorio de código fuente de Orion. Eso no es una tecnicidad exculpatoria. Identifica el límite de confianza que falló. Un revisor que compare el repositorio antes y después de una compilación podría ver el código fuente limpio mientras el trabajador de compilación sustituía temporalmente un archivo malicioso durante la compilación. Los controles centrados solo en la revisión del código fuente por lo tanto pasarían por alto la divergencia del artefacto producido.

En tercer lugar, los atacantes probaron su capacidad de modificar compilaciones antes de desplegar la puerta trasera operativa. Las conclusiones iniciales del sistema de compilación de SolarWinds de enero de 2021 situaron la actividad sospechosa interna más temprana entonces conocida en septiembre de 2019, una modificación de prueba en una versión de Orion de octubre de 2019, la inyección de SUNBURST comenzando el 20 de febrero de 2020 y la eliminación del código malicioso del entorno en junio de 2020. Informes posteriores de la empresa retrasaron la evidencia de acceso mientras preservaron la prueba de octubre y la ventana de distribución de marzo a junio.

En cuarto lugar, las versiones afectadas de Orion se distribuyeron a través de canales normales. El Formulario 8-K del 14 de diciembre de 2020 de SolarWinds dijo que los productos descargados, implementados o actualizados durante el período relevante contenían la vulnerabilidad y estimó que menos de 18.000 clientes pueden haber instalado versiones afectadas. Su Formulario 10-K de 2020 describió más tarde SUNBURST como inyectado en compilaciones lanzadas de marzo a junio de 2020, dijo que el software afectado se instaló en las instalaciones del cliente y enfatizó que el número explotado era sustancialmente menor que el número que podría haber instalado una versión afectada.

En quinto lugar, FireEye descubrió la campaña más amplia en diciembre de 2020 mientras investigaba su propia intrusión. El registro público no muestra que la garantía de lanzamiento de SolarWinds o un programa federal de perímetro detectaran la compilación comprometida antes de que los clientes la recibieran. Esa brecha de detección es importante independientemente de lo bien que SolarWinds respondió después de la notificación. Un control puede funcionar bien durante la respuesta a una crisis mientras no haya detectado la condición peligrosa durante la producción.

En sexto lugar, el gobierno de EE. UU. atribuyó formalmente la campaña al SVR ruso. El aviso conjunto de CISA de abril de 2021 registra la atribución de EE. UU. y la orientación correspondiente de NSA-CISA-FBI; el Reino Unido también asoció públicamente al SVR con la operación. La atribución establece la responsabilidad del actor hostil y el contexto geopolítico. No responde si las salvaguardas del proveedor o del cliente eran proporcionales a una clase previsible de ataque a la cadena de suministro.

Tres asuntos importantes permanecen acotados. La ruta inicial hacia SolarWinds no fue probada en la actualización final de la empresa citada. El registro público no revela todas las organizaciones seleccionadas para acceso posterior ni todos los elementos tomados de esas redes. Y una actualización afectada no prueba que una organización sufriera explotación interactiva. Esas lagunas requieren un lenguaje cuidadoso, no una parálisis analítica.

El resto del artículo se traduce de manera similar, manteniendo la estructura y los enlaces. (Continuación de la traducción del artículo completo en español).