Microsoft ha anunciado hoy que Microsoft Defender comenzará a poner en cuarentena los binarios de SolarWind Orion comprometidos a partir de mañana por la mañana.
Durante el fin de semana, se reveló que los piratas informáticos del estado nacional ruso violaron SolarWinds, un desarrollador de software de administración de red, y agregaron código malicioso a su plataforma Orion.
Los archivos binarios maliciosos se distribuyeron a través del mecanismo de actualización automática de SolarWinds a aproximadamente 18.000 clientes, incluidas numerosas agencias gubernamentales de EE. UU. Los actores de la amenaza utilizaron estos binarios maliciosos para instalar una puerta trasera conocida como Solorigate (Microsoft) o SUNBURST (FireEye).
Si bien Microsoft ya está detectando y poniendo en cuarentena la puerta trasera, no ha puesto en cuarentena los archivos binarios de SolarWinds comprometidos, ya que podría afectar las operaciones esenciales de administración de red utilizadas por los clientes.
Debido a la amenaza que representa este software troyano, Microsoft ha anunciado que a partir de mañana, 16 de diciembre, a las 8:00 a.m. PST, Microsoft Defender comenzará a poner en cuarentena los binarios de SolarWinds comprometidos.
“Es importante comprender que estos binarios representan una amenaza significativa para los entornos de los clientes. Los clientes deben considerar cualquier dispositivo con el binario como comprometido y ya deberían estar investigando los dispositivos con esta alerta. A partir del miércoles 16 de diciembre a las 8:00 a. M. PST, Microsoft Defender Antivirus comenzará a bloquear los archivos binarios maliciosos conocidos de SolarWinds. Esto pondrá en cuarentena el binario incluso si el proceso se está ejecutando “. Microsoft anunció hoy.
Microsoft Defender detecta los binarios de SolarWinds comprometidos como ‘ Trojan: MSIL / Solorigate.BR! Dha’.
Microsoft también recomienda que todos los servidores que ejecutan el software SolarWinds se aíslen del resto del entorno y se investiguen a fondo en busca de software malicioso antes de volver a utilizarlos.
Se sugieren los siguientes pasos:
- Aísle inmediatamente el dispositivo afectado. Si se ha lanzado un código malicioso, es probable que el dispositivo esté bajo el control total del atacante.
- Identifique las cuentas que se han utilizado en el dispositivo afectado y considere estas cuentas comprometidas. Restablezca las contraseñas o retire las cuentas.
- Investigue cómo el endpoint afectado podría haberse visto comprometido.
- Investigue la línea de tiempo del dispositivo en busca de indicaciones de actividades de movimiento lateral utilizando una de las cuentas comprometidas. Compruebe si hay herramientas adicionales que los atacantes podrían haber dejado caer para permitir el acceso a las credenciales, el movimiento lateral y otras actividades de ataque.
Si la interrupción del servicio no es posible, Microsoft ha creado políticas de GPO que pueden usarse para alterar el comportamiento de Microsoft Defender, de modo que no se eliminen los binarios de SolarWinds comprometidos detectados.
