Hackers estatales chinos atacan el Departamento del Tesoro de EE.UU.

ACTUALIZACIÓN: Esta historia se actualizó el 30 de diciembre para incluir una declaración de un portavoz de BeyondTrust.

El Departamento del Tesoro de Estados Unidos alertó a los legisladores el lunes que los actores de amenazas chinos respaldados por el estado pudieron comprometer sus sistemas y robar datos de estaciones de trabajo a principios de este mes.

Debido a que se sospecha que un grupo de Amenaza Persistente Avanzada (APT) está detrás del ataque, se lo trata como un «incidente de ciberseguridad grave», según la carta de divulgación del Departamento del Tesoro de los EE. UU. enviada al presidente del Tesoro de los EE. UU. y al funcionario de mayor rango del Senado. comité que supervisa la agencia.

Afirma que los atacantes penetraron en el Departamento del Tesoro a través de un proveedor externo de ciberseguridad, BeyondTrust, y «… obtuvieron acceso a una clave remota utilizada por el proveedor para proteger un servicio basado en la nube diseñado para… proporcionar soporte técnico remoto a las oficinas del Departamento de Finanzas (DO) a los usuarios finales”. carta dicho. «Al acceder a la clave robada, el actor de amenazas pudo anular la seguridad del servicio, acceder de forma remota a ciertas estaciones de trabajo pertenecientes a los usuarios de Treasury DO y acceder a ciertos documentos no clasificados mantenidos por esos usuarios».

El sitio web BeyondTrust dice que la compañía tiene más de 20.000 clientes en más de 100 países que utilizan sus herramientas de acceso remoto privilegiado. El sitio web añade que BeyondTrust es utilizado por el 75% de las organizaciones Fortune 100. La compañía no respondió a la solicitud de comentarios de Dark Reading.

El Departamento del Tesoro agregó que BeyondTrust notificó el problema el 8 de diciembre y estaba investigando el compromiso junto con la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) y el FBI, según la carta.

A Consultoría BeyondTrust dijo que la compañía tuvo conocimiento de una clave API comprometida el 5 de diciembre, que fue revocada de inmediato. Según un comunicado de un portavoz de BeyondTrust, los clientes afectados ya han sido notificados y la empresa está trabajando con ellos para resolver el problema.

«BeyondTrust identificó previamente y tomó medidas correctivas para un incidente de seguridad relacionado con el producto de soporte remoto a principios de diciembre de 2024», dice el comunicado. «No estuvo involucrado ningún otro producto de BeyondTrust».

Ataque “épico” de un hacker chino al Departamento del Tesoro de EE.UU.

La revelación de que Beijing ha podido llegar directamente al corazón del sistema capitalista federal de Estados Unidos llega en un momento en que el gobierno federal todavía está lidiando con las acciones generalizadas y coordinadas respaldadas por China. Ciberataques contra empresas de telecomunicaciones en los EE.UU. Una vez dentro, los piratas informáticos de los grupos siguientes tifón de sal Acceso a registros de llamadas y mensajes de texto de un número desconocido de estadounidenses. Hasta ahora, se han descubierto grupos de hackers chinos en al menos nueve redes de telecomunicaciones diferentes en Estados Unidos.

Mientras continúa la investigación sobre la violación del Tesoro de Estados Unidos, es casi seguro que estos descarados actos de ciberespionaje chino requerirán delicadas maniobras diplomáticas. Esto podría resultar difícil durante el sombrío período de transición de la administración Biden a la nueva administración. administración Trump.

«La rutinaria negación de responsabilidad por parte de Beijing por incidentes de ciberespionaje plantea desafíos diplomáticos para que Estados Unidos pueda combatir eficazmente tales violaciones debido a la falta de transparencia y rendición de cuentas/coordinación», dijo el vicepresidente de Dispersive, Lawrence Pingree, en una declaración a Dark Reading.

Añadió que todavía no estaba claro si los piratas informáticos chinos lograron descifrar los secretos de la aplicación o una clave criptográfica.

“Los secretos y la gestión de claves criptográficas son elementos críticos en la gestión del acceso a las API del software. «Entonces, si tienen algún defecto o se produce un compromiso a través del punto final de un desarrollador, violar estos secretos y claves de autenticación puede conducir a violaciones épicas de esta naturaleza», agregó.

La violación también muestra que los proveedores de ciberseguridad siguen siendo un objetivo popular para los actores de amenazas gubernamentales sofisticados, dijo el ex experto cibernético de la NSA Evan Dornbush, quien emitió un comunicado en respuesta a la violación.

«El mundo de la ciberseguridad está sufriendo otra brecha importante, esta vez dirigida a los clientes del proveedor de seguridad BeyondTrust», dijo Dornbush. “Este incidente se suma a una lista cada vez mayor de ataques a empresas de seguridad, incluida Okta (cuya infracción afectó directamente a BeyondTrust). un cliente), LastPass, SolarWinds y Snowflake.