Los 10 principales ataques a la cadena de suministro que sacudieron al mundo

El aumento de los ataques a la cadena de suministro no es hipotético; las alarmantes estadísticas respaldan este nuevo nivel de ataques. Si bien depender de componentes de código abierto y software de terceros es fundamental para reducir los tiempos de desarrollo y aumentar la agilidad operativa, también conlleva riesgos significativos.

Debido a esta dependencia de código externo, de diferentes aplicaciones y de múltiples organizaciones, un ataque a una biblioteca base puede escalar rápidamente a miles de pilas de software vulnerables. 

Los ataques a la cadena de suministro pueden considerarse una forma sofisticada de ciberamenaza . Su objetivo es la compleja red de relaciones entre una organización y sus proveedores, distribuidores y prestadores de servicios externos. Debido a la interconexión de las cadenas de suministro digitales, que a menudo abarcan múltiples organizaciones, ubicaciones geográficas y sistemas, estos ataques explotan vulnerabilidades.

En resumen, los diez ataques que se describen a continuación se dividen en tres patrones distintos: certificados de firma de código robados o falsificados (ASUS, SolarWinds), vulnerabilidades de infraestructura explotadas (MOVEit, TeamCity, JFrog Artifactory) y cuentas o credenciales comprometidas (Okta, Airbus, Top.gg). Solo el primer patrón se refiere específicamente a un fallo en la firma de código; los otros dos requieren controles completamente diferentes.

Puntos Clave

• No todos los incidentes de esta lista son fallos en la firma de código. Solo los casos de ASUS/ShadowHammer y SolarWinds involucraron el uso indebido de un certificado para firmar código malicioso; los demás involucraron la explotación de vulnerabilidades, el robo de credenciales o el compromiso de cuentas, y requieren controles diferentes.
• Esta página ofrece un resumen general de diez incidentes distintos. Para obtener información detallada sobre ataques individuales, consulte Los principales ataques a la cadena de suministro de software y Estado de los ataques a la cadena de suministro de software.

Los ataques

Las técnicas de ataque se han diversificado enormemente, y el typosquatting , la confusión de dependencias, el protestware y la inyección de código malicioso plantean nuevos desafíos y consideraciones para los especialistas en ciberseguridad. En este artículo, exploraremos los ataques más recientes a la cadena de suministro que tuvieron consecuencias de gran alcance.

1. Ataque a la plataforma de bots de Discord (marzo de 2024)

   La comunidad de bots Top.gg en Discord, con más de 170 000 miembros, se ha visto afectada por un ataque a la cadena de suministro cuyo objetivo era infectar a los desarrolladores con malware que roba información confidencial. A lo largo de los años, el atacante ha utilizado diversas tácticas, procedimientos y técnicas, como el secuestro de cuentas de GitHub , la distribución de paquetes Python maliciosos, el uso de una infraestructura Python falsa y la ingeniería social. Top.gg se infectó con un malware de robo de información tras descargar un clon malicioso de una herramienta conocida como Colorama.

2. Ataque a la cadena de suministro de Okta (octubre de 2023)

   Okta, proveedor de servicios de autenticación y gestión de identidad, informó en octubre de 2023 que cibercriminales podrían acceder a datos privados de consumidores obteniendo credenciales de su sistema de atención al cliente. En casos recientes de soporte, los atacantes pudieron ver archivos subidos por clientes específicos.

3. Ataque a la cadena de suministro de JetBrains (septiembre/octubre de 2023)

   En diciembre, funcionarios gubernamentales advirtieron que los atacantes de Solarwind estaban explotando una vulnerabilidad crítica en los servidores de JetBrains TeamCity. Esta vulnerabilidad crítica de omisión de autenticación atrajo la atención debido a su impacto potencial y su alta gravedad.

   Intrusos no autenticados con acceso HTTP(S) pueden explotar esta vulnerabilidad para obtener el control administrativo de los servidores afectados y ejecutar código remoto, lo que representa un posible vector para ataques a la cadena de suministro. Este ataque fue perpetrado por un ciberdelincuente ruso llamado Cozy Bear, vinculado al Servicio de Inteligencia Exterior de Rusia (SVR RF).

   En el ataque, los ciberdelincuentes obtuvieron acceso de administrador al servidor y ejecutaron código de forma remota. No fue necesaria la interacción del usuario, a pesar de que muchas grandes empresas de software utilizaban servidores TeamCity para su integración y entrega continuas (CI/CD) , con más de 3,000 servidores directamente expuestos.

4. Ataque a la cadena de suministro de MOVEit (junio de 2023)

   En junio, se llevó a cabo un ataque a la cadena de suministro de MOVEit, dirigido a los usuarios de la herramienta MOVEit Transfer, propiedad de la empresa estadounidense Progress Software. MOVEit está diseñada para transferir archivos confidenciales de forma segura y es popular en Estados Unidos. El grupo de ransomware Cl0p ha sido vinculado con el ataque.

   Los atacantes explotaron una vulnerabilidad de inyección SQL (CVE-2023-34362) en la interfaz web de MOVEit Transfer para causar daños significativos. La aplicación web de MOVEit fue infectada con un shell web llamado LEMURLOOT, que luego se utilizó para robar datos de las bases de datos de MOVEit Transfer.

5. Ataque a la cadena de suministro de 3CX (marzo de 2023)

   En marzo, el ataque 3CX tuvo como objetivo las aplicaciones de escritorio de macOS y Windows, lo que generó preocupación sobre la seguridad e integridad de la cadena de suministro del software. Los ciberdelincuentes comprometieron la aplicación mediante un archivo de biblioteca infectado, que posteriormente descargó un archivo cifrado con información de comando y control. Esto permitió a los atacantes ejecutar actividades maliciosas en el entorno de la víctima.

6. Ataque a la cadena de suministro de Microsoft (febrero de 2023)

   En febrero de 2023, Microsoft también sufrió un ataque a su cadena de suministro de software . El ataque explotó una vulnerabilidad en Jfrog Artifactory, un gestor de repositorios binarios que Microsoft utiliza para distribuir y almacenar sus componentes de software.

   Los atacantes accedieron a Jfrog Artifactory e inyectaron código malicioso en algunos de los componentes de software de Microsoft, lo que les permitió acceder a la red de Microsoft mientras robaban el código fuente y otra información confidencial.

7. Ataque a la cadena de suministro de Norton (mayo de 2023)

   El software más destacado de Norton es su antivirus, ampliamente utilizado. También sufrieron un ataque en mayo de 2023. El ataque aprovechó una vulnerabilidad de día cero en MOVEit Transfer, un software de transferencia de archivos gestionados (MFT) que la empresa matriz de Norton utiliza para transferir archivos entre usuarios y oficinas. Los atacantes accedieron a la red de Norton y robaron información personal y datos específicos de los empleados. Además, amenazaron con liberar los datos robados si Norton no pagaba un rescate.

8. Ataque a la cadena de suministro de Airbus (enero de 2023)

   Airbus también fue atacada en enero de 2023 por un actor de amenazas conocido como USDoD. La organización confirmó que el ataque se llevó a cabo a través de una cuenta comprometida de un empleado de Turkish Airlines, uno de los clientes de Airbus. El actor de amenazas pudo acceder a la cuenta del empleado y a los sistemas de Airbus.

   Los datos filtrados incluían información personal de más de 3000 proveedores de Airbus, como Rockwell Collins y el Grupo Thales. La filtración de datos incluía nombres, números de teléfono y direcciones de correo electrónico.

9. SolarWinds (finales de 2020)

   A finales de 2020, SolarWinds proporcionó software que contenía malware, el cual estaba destinado a contener información confidencial dondequiera que se instalara. Los clientes tenían plena confianza en el software firmado que recibieron y creían que estaba libre de código malicioso y virus, ya que no había sido modificado desde que SolarWinds lo firmó, desarrolló y entregó.

   Sin embargo, los atacantes introdujeron el malware Sunspot en el sistema de monitorización y gestión informática Orion, utilizado por SolarWinds. SolarWinds firmó digitalmente el archivo resultante, que posteriormente se utilizó para infiltrarse en más de 18 000 clientes comerciales privados y en el gobierno.

   El malware recopiló información de las redes infectadas y envió datos a un servidor remoto. Cozy Bear fue nuevamente responsable de este ataque, vinculado al Servicio de Inteligencia Exterior de Rusia (SVR).

10. ShadowHammer/ASUS (2019)

    En 2019, fabricantes de computadoras taiwaneses fueron víctimas de atacantes que encontraron claves de firma de código críticas en su servidor de actualizaciones web. Los intrusos añadieron malware a actualizaciones legítimas de ASUS, firmadas con las claves de firma de código de ASUS, infectando un millón de computadoras ASUS.

    Los ataques ShadowHammer ocurrieron durante un período de 6 meses. Afectaron a los usuarios de portátiles ASUS que activaron la función Live Update, una utilidad que busca e instala automáticamente nuevas actualizaciones de firmware y software de ASUS.

Comparación de patrones de ataque

Incidente	Patrón de ataque real	¿Fue la firma de código el punto débil?
ShadowHammer/ASUS (2019)	Claves de firma de código robadas utilizadas para firmar actualizaciones maliciosas	Sí:
Vientos solares (2020)	El entorno de compilación se vio comprometido antes de la firma; la firma se aplicó a un código que ya era malicioso.	Sí, indirectamente (construir integridad, no robar llaves).
Airbus (enero de 2023)	Cuenta de empleado de un tercero (Turkish Airlines) comprometida	No
Microsoft/JFrog (febrero de 2023)	Vulnerabilidad explotada en un gestor de repositorios binarios	No
3CX (marzo de 2023)	Archivo de biblioteca infectado en el proceso de compilación	No, pero el aislamiento del edificio habría ayudado.
Norton/Gen Digital (mayo de 2023)	Vulnerabilidad de día cero en software de transferencia de archivos de terceros (MOVEit)	No
MOVEit/Cl0p (junio de 2023)	Vulnerabilidad de inyección SQL (CVE-2023-34362)	No
JetBrains TeamCity (septiembre/octubre de 2023)	Vulnerabilidad de omisión de autenticación	No
Octubre (2023)	Credenciales de atención al cliente comprometidas	No
Top.gg/Colorama (marzo de 2024)	Dominio suplantado y sesión de cuenta de GitHub comprometida	No

Tendencias recientes en ataques de firma de código 

Recientemente se han observado tendencias notables en los ataques a la firma de código o a la cadena de suministro, a medida que los atacantes evolucionan constantemente sus tácticas. Comprender estas tendencias permite a las organizaciones mantenerse alerta e implementar medidas de seguridad eficaces.

• Envenenamiento de la cadena de suministro

  Los ciberdelincuentes han atacado cada vez más la cadena de suministro de software inyectando códigos maliciosos en paquetes legítimos durante la distribución o compilación. Esta técnica de envenenamiento les permite eludir los cursos de seguridad convencionales y distribuir software comprometido a los usuarios.

• Abuso y falsificación de certificados

  Los atacantes han explotado vulnerabilidades en la infraestructura de certificados para falsificar y abusar de los certificados de firma de código . Roban certificados legítimos a los desarrolladores o crean certificados fraudulentos que aparentan ser auténticos. Estas tácticas les permiten firmar software malicioso y engañar a los usuarios haciéndoles creer que proviene de una fuente legítima.

• Ataques dirigidos a software de alto valor

  Los ciberdelincuentes han centrado su atención en objetivos de software de alto valor, como sistemas operativos de uso generalizado, software de infraestructura crítica o aplicaciones empresariales. Comprometer el procedimiento de firma de código de dicho software puede tener consecuencias, permitiendo a los intrusos infiltrarse en numerosas organizaciones y causar daños significativos.

Implicaciones financieras y de recuperación en los tiempos de los ataques a la cadena de suministro 

Si bien es difícil precisar el costo total de estas filtraciones de datos, sabemos con certeza que son costosas. Estos ataques a la cadena de suministro y las filtraciones de datos correspondientes costaron 4.45 millones de dólares . Sin embargo, hemos visto filtraciones recientes con costos estimados que podrían alterar esta situación en el futuro.

Los costos directos de las violaciones de datos incluyen esfuerzos de remediación e investigaciones, multas regulatorias, litigios, auditorías forenses, demandas de reembolso bancario, acuerdos legales, costos de servicio al cliente y medidas de control de daños. 

Los largos tiempos de recuperación también afectan el coste total de una filtración de datos. Un importante proveedor de servicios de salud puede sufrir este impacto a medida que se prolonga el tiempo de recuperación de la filtración. El coste de la recuperación seguiría aumentando tras la filtración. Por eso es crucial permitir únicamente la ejecución de código aprobado en toda la organización. 

¿Cómo se puede aprovechar la firma de código para proteger a las organizaciones de estas amenazas? 

1. Verificación de origen

   La verificación del origen en el diseño de código puede considerarse una medida de seguridad que garantiza que el código provenga de una fuente auténtica antes de firmarse y distribuirse. Comprende detalles sobre el repositorio de origen y sus componentes de validación, como la información de compilación, la confirmación y la rama.

   Este procedimiento ayuda a reducir el riesgo de acceso no autorizado a códigos maliciosos o modificaciones de código. Esto proporciona una capa adicional de seguridad y confianza en el proceso de distribución y desarrollo de software.

   Esta función está diseñada para usarse en entornos que requieren alta seguridad y necesitan mantener estándares de cumplimiento, garantizando la seguridad tanto de los usuarios finales como de los desarrolladores.

2. Construcción reproducible

   Las compilaciones reproducibles, un concepto fundamental en el desarrollo de software moderno, garantizan la seguridad, consistencia y fiabilidad de las compilaciones de aplicaciones. Con compilaciones reproducibles, cualquier intento de modificar el código de la aplicación se detecta fácilmente, lo que proporciona una protección robusta contra ataques maliciosos y garantiza la integridad de la solución de desarrollo de aplicaciones.

3. Verificación de compilación

   Las pruebas de verificación de compilación (BVT) se ejecutan en cada nueva compilación para comprobar su estabilidad y su preparación para futuras pruebas. Consisten en casos de prueba que validan las características principales de la compilación de software. Cualquier compilación que no supere la BVT se rechaza y se devuelve a los desarrolladores para su resolución.

   BVT permite mitigar los riesgos asociados al comportamiento del sistema. Identifica riesgos potenciales, como pérdida de datos, vulnerabilidades de seguridad o funcionalidad incorrecta, abordando y validando el comportamiento esperado antes de que el sistema entre en producción.

¿Por qué confiar en CodeSign Secure para evitar estos ataques? 

Existen varias razones por las que debería optar por CodeSign Secure para realizar sus operaciones de firma de código:

• CodeSign Secure ayuda a los consumidores a mantenerse a la vanguardia al brindarles una solución de diseño de código segura con almacenamiento de claves a prueba de manipulaciones, control total y visibilidad de las actividades de diseño de código.
• Las claves privadas del certificado de diseño de código se pueden almacenar en un HSM, eliminando el riesgo de claves corruptas, mal utilizadas o robadas. 
• El hashing del lado del cliente garantiza el rendimiento de la compilación y al mismo tiempo evita el movimiento innecesario de archivos, lo que proporciona una mayor seguridad. 
• También proporciona una autenticación perfecta a través de hash del lado del cliente, autenticación de dispositivos, autenticación multifactor, flujos de trabajo de aprobación de múltiples niveles y más. 
• Soporte para políticas de InfoSec para mejorar la adopción de soluciones y al mismo tiempo permitir que diferentes equipos de negocios tengan su propio flujo de trabajo para el diseño conjunto. 
• También incorpora un mecanismo de firma hash de vanguardia del lado del cliente, lo que reduce la cantidad de datos que circulan por la red. Esto lo convierte en un sistema de diseño de código altamente eficiente para las complejas operaciones criptográficas que ocurren en el HSM.

Preguntas frecuentes

¿Cuántos de estos diez ataques fueron causados ​​realmente por un fallo en la firma del código?

Dos casos: ASUS/ShadowHammer (claves de firma robadas) y SolarWinds (una compilación comprometida firmada con un certificado legítimo). Los otros ocho casos involucraron explotación de vulnerabilidades, robo de credenciales o cuentas de terceros comprometidas, problemas que la firma de código por sí sola no soluciona.

Si la mayoría de estos ataques no fueron fallos en la firma de código, ¿por qué son relevantes para una página de seguridad sobre la firma de código?

Las organizaciones con una seguridad débil en la cadena de suministro (gestión de vulnerabilidades, seguridad de cuentas) suelen estar expuestas en otras áreas, como la firma de código. Comprender la gama completa de patrones de ataque ayuda a determinar qué controles abordan realmente qué riesgos, en lugar de considerar la firma de código como una defensa universal.

Conclusión 

Tras analizar los diez ataques más impactantes a la cadena de suministro que repercutieron en todo el mundo, es evidente que la escala y la sofisticación de estas ciberamenazas están aumentando. Los incidentes mencionados en el blog ponen de relieve las vulnerabilidades que las organizaciones pueden enfrentar al proteger sus activos, desde la inyección de códigos maliciosos hasta la explotación de infraestructuras de certificados.

La respuesta a esta creciente amenaza radica en adoptar prácticas de codiseño más seguras y fomentar una comprensión más profunda de los riesgos asociados al desarrollo y la distribución de software. CodeSign Secure trabaja para usted mejorando su postura de seguridad en el codiseño, manteniendo la confianza, la integridad y la seguridad en este entorno digital en constante evolución.