Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Filtración de datos de Ivanti
Filtración de datos de Ivanti
Cuando las vulnerabilidades quedan sin parchar, los cibercriminales no tardan en explotar esa brecha, y eso fue exactamente lo que pasó con los exploits zero-day masivos de Ivanti. Esta brecha afectó a sistemas gubernamentales y empresariales en todo el mundo, aprovechando vulnerabilidades sin parchar en Ivanti's Endpoint Manager Mobile (EPMM). ¿El resultado? Exposición de datos sensibles, interrupción operativa y mayor escrutinio sobre las prácticas de gestión de parches.
La filtración de datos de Ivanti explicada: ¿qué pasó?
Los exploits zero-day masivos de Ivanti se descubrieron a mediados de 2023, exponiendo vulnerabilidades críticas en la plataforma EPMM. Estas vulnerabilidades permitieron a los atacantes obtener acceso no autorizado a información sensible y potencialmente interrumpir operaciones. La filtración formó parte de una ola mayor de ciberataques que explotaban vulnerabilidades zero-day, lo que resalta la necesidad de medidas de seguridad proactivas.
¿Cuándo ocurrió la filtración de datos de Ivanti?
Las vulnerabilidades explotadas en la plataforma EPMM de Ivanti salieron a la luz en julio de 2023. La línea de tiempo de la filtración abarcó varias semanas, ya que los atacantes actuaron con rapidez antes de que se aplicaran los parches en los sistemas afectados. En los meses posteriores a los primeros informes se descubrió actividad adicional de explotación.
¿Quién hackeó a Ivanti?
No se han confirmado públicamente las identidades detrás de la filtración de datos de Ivanti. Sin embargo, la precisión y la escala del ataque sugieren que pudo haber sido llevado a cabo por grupos cibercriminales altamente organizados o por actores respaldados por algún Estado.
¿Cómo ocurrió la filtración de Ivanti?
Los ataques masivos de zero-day de Ivanti se originaron por múltiples vulnerabilidades sin parchar en EPMM, que los atacantes aprovecharon para eludir la autenticación y obtener acceso no autorizado. Estas fallas permitieron el movimiento lateral y la exfiltración de datos dentro de las redes afectadas.
Cronología de la brecha de zero-day en Ivanti EPMM
- Al menos abril de 2023 — Actores APT comienzan a explotar CVE-2023-35078 como zero-day contra organizaciones noruegas. En este punto, la vulnerabilidad es desconocida para Ivanti y el público.
- Julio de 2023 — NCSC-NO descubre la campaña de explotación dirigida a la infraestructura del gobierno noruego.
- 23 de julio de 2023 — Ivanti publica un parche para CVE-2023-35078 al mismo tiempo que divulga la vulnerabilidad. Las autoridades noruegas anuncian públicamente que 12 ministerios de gobierno fueron atacados.
- 24 de julio de 2023 — La Autoridad Nacional de Seguridad de Noruega (NSM) confirma que CVE-2023-35078 se usó en el ataque. CISA agrega la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas.
- 28 de julio de 2023 — Ivanti divulga y parcha una segunda vulnerabilidad encadenada, CVE-2023-35081 (recorrido de directorios). CISA emite una alerta instando a parchar ambos CVE de inmediato. NCSC-NO confirma que se observó el encadenamiento de las dos vulnerabilidades en explotación activa.
- 1 de agosto de 2023 — CISA y NCSC-NO publican un aviso conjunto de ciberseguridad que confirma la explotación de ambos CVE por parte de actores APT desde al menos abril de 2023, e instan a las organizaciones a aplicar los parches y buscar indicadores de compromiso.
Detalles técnicos
Los atacantes explotaron vulnerabilidades de omisión de autenticación (CVE-2023-35078 y CVE-2023-35081) en el software EPMM de Ivanti. Estas fallas permitieron el acceso no autorizado persistente y la ejecución de comandos en los sistemas comprometidos.
Indicadores de compromiso (IoC)
Los IoC asociados con la brecha de Ivanti incluyen direcciones IP y dominios maliciosos observados al atacar instalaciones vulnerables. Se instó a los administradores a analizar los registros de red en busca de actividad inusual relacionada con los sistemas de autenticación.
Investigación forense y de incidentes
Las investigaciones revelaron que el registro forense limitado de los sistemas afectados retrasó la comprensión del alcance total de la brecha. Empresas de seguridad externas y agencias gubernamentales colaboraron para rastrear las tendencias de explotación y contener los riesgos.
¿Qué datos se vieron comprometidos en la filtración de Ivanti?
El exploit de Ivanti expuso datos corporativos sensibles y potencialmente de agencias gubernamentales. Los detalles incluían comunicaciones por correo electrónico, credenciales del sistema y archivos de configuración. Aunque no se ha confirmado, la posibilidad de un acceso profundo sugiere una exposición de alto riesgo de propiedad intelectual e información personal.
¿A cuántas personas afectó la filtración de datos de Ivanti?
Ivanti no ha confirmado cuántas personas u organizaciones se vieron afectadas por la brecha, aunque se cree que el alcance es extenso dado su impacto en EPMM, que respalda a una amplia base de clientes a nivel global.
¿Mis datos quedaron expuestos en la brecha de Ivanti?
Si usas algún sistema o aplicación de Ivanti, asegúrate de aplicar las actualizaciones y consulta recursos de inteligencia de amenazas para conocer los últimos detalles. Ivanti también ofrece actualizaciones continuas en su página web de avisos de seguridad.
Impactos clave de la brecha de Ivanti
Esta brecha causó una disrupción importante, lo que generó una desaceleración en la productividad, daño reputacional y un posible escrutinio regulatorio para las organizaciones que dependían de la tecnología comprometida. Ivanti recibió críticas por sus demoras en los parches y por el manejo de la divulgación.
Respuesta a la brecha de datos de Ivanti
Ivanti respondió emitiendo parches críticos para las vulnerabilidades identificadas y coordinando con autoridades de ciberseguridad para mitigar los riesgos. La rápida respuesta resaltó la importancia de una colaboración eficiente durante los incidentes.
Lecciones de la brecha de datos de Ivanti
Las lecciones clave incluyen la urgencia de las actualizaciones de parches rutinarias, la necesidad de soluciones de detección de vulnerabilidades zero-day y el valor fundamental del registro de incidentes para evaluar eficazmente el alcance de una brecha.
¿Es seguro Ivanti después de la brecha?
Si bien Ivanti emitió parches para abordar las vulnerabilidades identificadas, la brecha resalta la necesidad continua de un monitoreo vigilante, evaluaciones de seguridad regulares y un sólido marco de respuesta a incidentes.
Estrategias de mitigación y prevención
Implementa autenticación multifactor (MFA) en todos los sistemas.
Mantén un sistema de gestión de parches robusto y actualizado.
Usa soluciones SIEM como Huntress Managed SIEM para el monitoreo continuo y la alerta de intentos de explotación.
Realiza security awareness training regular para los empleados.
Artículos educativos y videos relacionados
Preguntas frecuentes
Los atacantes aprovecharon vulnerabilidades de día cero (zero-day) sin parchear en la plataforma EPMM de Ivanti, lo que les permitió evadir los mecanismos de autenticación y acceder a sistemas seguros.
Los datos expuestos pudieron haber incluido credenciales de sistemas, archivos de comunicación interna y datos de configuración sensibles almacenados en los sistemas comprometidos.
No se ha confirmado al actor de amenazas detrás de los exploits de Ivanti, aunque las señales apuntan a una operación coordinada y sofisticada.
Para mitigar los riesgos, las empresas deben priorizar la gestión de parches, aplicar MFA, monitorear indicadores de compromiso (IoC) y desarrollar un plan de respuesta a incidentes sólido.
