Han pasado casi tres meses desde que se descubriera y se corrigiera una vulnerabilidad en la popular aplicación de transferencia de archivos MOVEit; sin embargo, la lista de empresas y organismos públicos afectados por la filtración de MOVEit sigue aumentando. Y la ola de violencia no da señales de detenerse.
Según algunas estimaciones, más de 40 millones de personas y al menos 600 organizaciones públicas y privadas podrían haberse visto afectadas hasta la fecha por el fallo de «día cero» de MOVEit que se dio a conocer a finales de mayo. La última víctima destacada es IBM, que, según confirmó la semana pasada, el uso que hizo de la aplicación MOVEit podría haber provocado la filtración de los historiales médicos de millones de personas que obran en poder de organismos estatales de Colorado y Misuri. Estos ataques, perpetrados en gran medida por la banda rusa de ransomware conocida como Clop, han afectado a todos los niveles de la administración pública, así como a universidades, hospitales, bancos, fondos de pensiones, operadores bursátiles, proveedores de tecnología, aseguradoras, contables y un sitio web de apuestas en línea.
Como era de esperar, las acciones legales relacionadas con el incidente cibernético se están multiplicando. Progress Software Corp., fabricante de MOVEit, se enfrenta al menos a 13 demandas en diversos tribunales federales de Estados Unidos, según The Wall Street Journal. Y dado que hay cientos de miles de clientes de MOVEit, los abogados están contactando frenéticamente con las personas que han recibido cartas sobre la filtración de datos de MOVEit para averiguar si estarían interesadas en sumarse a las demandas colectivas de .
Solo en las últimas semanas, se han interpuesto demandas contra la Universidad de Rochester, la Teachers Insurance and Annuity Association, la Universidad Johns Hopkins, Maximus Federal Services y Pension Benefit Information (un proveedor de servicios del Sistema de Jubilación de los Empleados Públicos de California), todas ellas demandadas por esta filtración de datos.
Lo cual plantea un problema totalmente nuevo para un software muy antiguo. Los sistemas de transferencia de archivos llevan décadas transmitiendo datos y se consideran fundamentales para el comercio.
«. Los programas de transferencia de archivos son conocidos por sus problemas de seguridad, ya que los datos que manejan suelen estar sin cifrar.»Tim Morris, director de seguridad de Tanium
«Los datos son el alma de la mayoría de las organizaciones», afirma Tim Morris, director de seguridad de Tanium, una empresa líder en software de ciberseguridad (y editora de Focal Point). «Sin embargo, los programas de transferencia de archivos son conocidos por sus problemas de seguridad, ya que los datos que gestionan suelen estar sin cifrar. Si a eso le sumamos vulnerabilidades como las de MOVEit, las bandas cibernéticas se lo van a pasar en grande con los exploits».
Afortunadamente, existen medidas que las empresas pueden adoptar para evitar verse afectadas por esta filtración masiva de datos.
[Lea también: ¿Falta el análisis de ciberseguridad en su estrategia de seguridad?]
Por qué la filtración de datos de MOVEit constituye un problema tan grave
Para adelantarse al problema, resulta útil comprender qué hay detrás de él. El día May 31, Progress anunció que había tenido conocimiento de una vulnerabilidad de inyección SQL en MOVEit, que permite a los piratas informáticos obtener acceso a la red o tomar el control de la misma mediante la inserción de código malicioso en los campos de entrada. Progress puso en marcha de inmediato una investigación, alertó a los clientes de MOVEit, facilitó medidas de mitigación y publicó un parche 48 horas después.
«De hecho, muchas organizaciones pudieron instalar el parche antes de que se pudiera aprovechar la vulnerabilidad», declaró a Reuters Eric Goldstein, alto cargo de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU.
De haberse tratado de muchas otras vulnerabilidades, el parche podría haber sido suficiente para evitar problemas generalizados. Sin embargo, en este caso, los hackers de Clop ya conocían la vulnerabilidad de MOVEit, que era similar a la vulnerabilidad de día cero de GoAnywhere MFT detectada en enero, y habían comenzado a lanzar ataques antes de que Progress emitiera la alerta.
En otras palabras, los piratas informáticos partían con ventaja. Y, según Progress, ese factor, junto con la agresividad de Clop y la naturaleza cada vez más interrelacionada de los datos, el software y las cadenas de suministro en nuestro mundo digital, son razones clave por las que tantas agencias y empresas siguen descubriendo que han sufrido brechas de seguridad relacionadas con MOVEit.
[Lea también: El plan de acción del Gobierno de EE. UU. para reforzar las cadenas de suministro]
La otra razón, según los expertos, es que muchas empresas no se tomaron la necesidad de aplicar parches tan en serio como deberían haberlo hecho.
¿Cómo solucionar la procrastinación? Es posible que este sea el verdadero culpable de MOVEit
Es difícil determinar si eso es cierto o no. Sin embargo, investigadores de seguridad como Huntress, que han logrado recrear con éxito la cadena de ataque que se suele utilizar para explotar la vulnerabilidad de MOVEit, han afirmado que el parche de Progress Software «» frustra efectivamente nuestro exploit recreado.
“It’s very Log4j-esque.”John Hammond, investigador en ciberseguridad, Huntress
Los datos disponibles indican que es probable que muchas organizaciones no hayan instalado el parche, ya sea porque no se tomaron la amenaza tan en serio como deberían o porque no disponían del tiempo ni de los recursos necesarios para hacerlo con la suficiente rapidez. Además, dado que MOVEit se utiliza en todas las cadenas de suministro, es muy posible que algunas organizaciones de TI ni siquiera supieran que ellas mismas o sus socios estaban utilizando este producto de transferencia de archivos.
In that sense, “it’s very Log4j-esque,” says John Hammond, a cybersecurity researcher with Huntress, referring to the Apache vulnerability that’s been a persistent threat since its discovery in November 2021. Según algunas estimaciones, el 72 % de las organizaciones siguen siendo vulnerables a ello.
Cómo minimizar el riesgo que supone la filtración de datos de MOVEit
Entonces, ¿qué puede hacer una organización si aún no ha tomado medidas para protegerse? Los expertos recomiendan las siguientes precauciones:
1. Auditar
Debe saber si usted o sus proveedores disponen de MOVEit y si esto podría afectarle. Realice un inventario de aplicaciones y activos de para determinar si dispone de algún servidor MOVEit en su infraestructura tecnológica. También le conviene ponerse en contacto con los proveedores y exigirles que asuman la responsabilidad de la seguridad de toda la tecnología que utilizan. La empresa tecnológica Prevalent ofrece una lista de preguntas muy útil, disponible en , que puede consultar en durante estas conversaciones. «Aunque lo que ellos tengan no entre dentro de su ámbito de competencia, sigue siendo un factor que influye en la seguridad de sus operaciones», afirma Hammond.
2. Parche
Aunque sea una obviedad, está poniendo en riesgo la existencia de su empresa, su reputación y su situación jurídica si no visita e instala todos los parches. Progress ha anunciado que, a partir de ahora, publicará paquetes de servicio cada dos meses aproximadamente. Esté atento a eso. Al parecer, la mayoría de las organizaciones comprenden la necesidad de actualizar sus sistemas y han actuado 21 veces más rápido de lo que se considera habitual para solucionar este problema, según un informe de Bitsight. Como consecuencia, el número de organizaciones vulnerables a esta vulnerabilidad se ha reducido en un somewhat—77 %; según ha constatado Bitsight, las organizaciones que inicialmente se veían afectadas ya no son vulnerables. Por supuesto, eso significa que el 23 % sigue siendo vulnerable a los ataques.
[Lea también: ¿Qué es la automatización de la seguridad?]
3. Desactivar
Progress recomienda asimismo desactivar todo el tráfico HTTP y HTTPS hacia su entorno de MOVEit Transfer como medida de mitigación importante. Más concretamente, debe modificar las reglas del cortafuegos para bloquear el tráfico HTTP y HTTPS destinado a MOVEit Transfer en los puertos 80 y 443 hasta que se pueda aplicar el parche.
4. Segmento
Tim Morris, de Tanium, también recomienda prestar especial atención al lugar donde se almacenan los datos y asegurarse de que no permanezcan en el mismo lugar que MOVEit durante ningún periodo de tiempo. «Al trasladar los datos desde el perímetro a un lugar más seguro, se reduce de forma efectiva el “radio de impacto”», afirma Morris. «Esto limita lo que un atacante puede sustraer y minimiza el impacto del fallo, lo que convierte a MOVEit en un proxy que transfiere datos rápidamente, pero sin almacenarlos».
5. Monitorear
Morris afirma que también es fundamental supervisar los puertos, los protocolos y los servicios de la red, así como asegurarse de que estén activadas las configuraciones de seguridad en los dispositivos de la infraestructura de red, como los routers y los cortafuegos.
6. Fortalecer
Los expertos también recomiendan una serie de medidas de ciberseguridad basadas en el sentido común, que puede consultar en y, entre las que se incluyen:
- Actualización de las reglas del cortafuegos de red para permitir conexiones a la infraestructura de MOVEit únicamente desde direcciones IP de confianza.
- La revisión y eliminación de las cuentas de usuarios no autorizados es una tarea esencial que, con demasiada frecuencia, queda relegada a un segundo plano en la lista de tareas pendientes de seguridad de una organización.
- Limitar el acceso a los archivos a las personas que ya hayan sido autenticadas por la red, concediendo privilegios de administrador únicamente cuando sea absolutamente necesario.
- Actualización de las políticas de acceso remoto para permitir únicamente las conexiones entrantes procedentes de direcciones IP de confianza.
- Habilite la autenticación multifactorial (MFA) de para proteger las cuentas de MOVEit frente a usuarios no verificados.
- Cifrar previamente los archivos confidenciales utilizando algoritmos reales como el Estándar de Cifrado Avanzado (AES), un cifrado por bloques simétrico que permite cifrar y descifrar rápidamente la información transferida (piense en el AES como un código secreto ultraseguro que convierte los mensajes en un galimatías que solo la persona adecuada puede entender).
7. Observe
Al igual que los cineastas de Hollywood, los hackers siguen las tendencias. Si los investigadores detectan una vulnerabilidad en una categoría concreta de software y las bandas de ransomware la aprovechan para obtener beneficios, suelen surgir a continuación fallos similares y ciberataques.
Los ataques mediante transferencia de archivos están muy de moda en estos momentos, y es posible que esta no sea la última vez que oigamos hablar de vulnerabilidades relacionadas con MOVEit. Aunque las fuerzas del orden logren desarticular Clop en algún momento, sigue siendo de vital importancia mantenerse al tanto de las noticias, estar atento a las alertas y comunicaciones de los proveedores, y detectar los indicadores conocidos de vulnerabilidades, ya que siempre habrá personas malintencionadas. Para conocer las novedades de MOVEit Transfer, consulte aquí. Para obtener más información sobre MOVEit Cloud ( ), consulte esta página:.
«Tengo la sensación de que las filtraciones de MOVEit van a suponer un problema durante mucho más tiempo de lo que pensábamos inicialmente, lo que acarreará todo tipo de problemas costosos», afirma Morris. «Sin embargo, si se aplican las actualizaciones y se siguen unas prácticas razonables de ciberseguridad, debería poder minimizar cualquier posibilidad de verse afectado por este problema».
