Junio es un mes en el que sucedieron diversos ataques que marcaron a la industria de la ciberseguridad. Los repasamos en este posteo.
A la hora mirar el calendario de junio y buscar fechas relevantes que sean de interés para la industria de la ciberseguridad, se hace casi imposible evitar dos eventos que marcaron un antes y un después, y que además confirman una tendencia que se mantiene hasta el día de hoy.
Tanto el 17 de junio de 2010, debido a Stuxnet, y el 12 de junio de 2017, en este caso por Industroyer, las infraestructuras críticas confirmaron hasta dónde pueden llegar las garras del cibercrimen. Sí, los sistemas industriales empezaban a estar en la mira de los actores maliciosos, y nada mejor que el propio mes de junio para repasar puntualmente de qué se trató cada ataque y cómo evolucionó esta tendencia hasta nuestros días.
Stuxnet, el primero (y más complejo) de su especie
El 17 de junio de 2010 fue descubierto un gusano al que se denominó Stuxnet y que, por especialistas de todo el mundo, es considerado el ciberataque más sofisticado de la historia.
De hecho, fue el primer malware que apuntó a sistemas industriales y también el pionero en incluir un rootkit contra controladores lógicos programables (técnica muy discreta y sigilosa mediante la cual se falsifica información sobre la presencia del código, con el fin de ocultarse).
Ahora bien, ¿cuál fue el objetivo que persiguió Stuxnet? Llevar adelante una operación en contra del programa nuclear iraní?. Y gracias a la técnica antes mencionada, pudo camuflar su interferencia con la velocidad de rotación del motor de los sistemas de monitoreo. Así, ralentizó el proceso de enriquecimiento de uranio en Natanz (instalación nuclear iraní) y consecuentemente demoró el proceso de creación de armas nucleares.
Para lograr su cometido, Stuxnet dividió su ataque en diferentes etapas. Durante la primera, el gusano se propagó a través de las redes para intentar explotar cuatro vulnerabilidades desconocidas y liberar un payload especializado que capaz de reprogramar los dispositivos. ¿El resultado? Óptimo, ya que los cambios repentinos y sensibles de velocidad dañaron las centrífugas utilizadas en el proceso de enriquecimiento de uranio.
Otra de las etapas involucró al intento de dañar los rotores mediante la sobrepresión, sabiendo que las centrifugadoras de gas para el enriquecimiento de uranio son excesivamente sensibles a la presión del proceso. Fue así como los atacantes, gracias a una vulnerabilidad y el payload, pudieron tomar el control por completo y manipular los valores de proceso dentro del controlador. Todo esto, lógicamente, impactó (negativamente) en las cantidades de producción de uranio enriquecido.
Si bien la propagación de Stuxnet implicó la afectación de casi 50.000 sistemas de carácter crítico, sin lugar a duda, quedará en la historia como el malware que logró perjudicar y retrasar sensiblemente el desarrollo del programa nuclear de Irán. Sí, el primero que tuvo a las infraestructuras críticas en la mira y el más complejo de su especie.
Industroyer, una amenaza adaptable
Siete años después, los sistemas industriales volvieron a estar en la mira: el 12 de junio de 2017, ESET publicaba el informe sobre Industroyer, la mayor amenaza a sistemas de control industrial desde el ya mencionado Stuxnet. De hecho, posiblemente haya sido el responsable de haber dejado sin luz por una hora a gran parte de Kiev, capital de Ucrania, en diciembre de 2016.
Industroyer se erigió como una amenaza peligrosa dada su capacidad para controlar los interruptores de una subestación eléctrica.
¿Cómo lo lograba? Se valía de protocolos de comunicación industrial implementados mundialmente en infraestructuras de suministro de energía eléctrica, sistemas de control de transporte y otros sistemas de infraestructura crítica, como agua y gas. Sí, de esa manera, y mediante algunos reajustes, podía ampliar su espectro de ataque.
Lo paradójico (y por supuesto peligroso) de Industroyer es que literalmente usaba los protocolos de la manera en que fueron diseñados para ser usados. Claro, esos protocolos fueron creados décadas atrás, cuando la intención era que los sistemas industriales estuvieran aislados del mundo exterior. Dicho de otra manera, los atacantes no necesitaron encontrar vulnerabilidades que explotar en los protocolos, sino que les alcanzó con enseñarle al malware a “hablar” esos protocolos.
Sí vale mencionar que Industroyer se diferenció de los otros tipos de malware que atacaban a infraestructuras en que utilizaba cuatro componentes maliciosos diseñados para obtener el control directo de interruptores y disyuntores en una subestación de distribución de electricidad. De hecho contaba con funcionalidades adicionales que le permitían quedarse fuera del radar para asegurar su persistencia y hasta borrar todos los rastros de sí mismo una vez que finalizó su trabajo.
Una tendencia que continúa
La aparición de Stuxnet y la posterior irrupción de Industroyer no hicieron más que comenzar una tendencia que se mantiene aún hoy y que se ha convertido en una constante de estos años.
De hecho (y entre tantísimos ejemplos de ataques a infraestructuras críticas) el 8 de abril de 2022, el CERT de Ucrania tuvo que dar respuesta a un incidente cibernético que afectó a un proveedor de energía que fue atacado con una pieza de malware. ¿La amenaza? Una nueva versión de Industroyer (apodada Industroyer 2, por supuesto) que claramente comparte similitudes de código con la primera versión.
Industroyer 2 buscó desplegar adicionalmente otros wipers para amplificar el impacto de la interrupción como también eliminar sus rastros para dificultar la investigación del incidente.
Ahora bien, ¿cuál es el escenario para nuestra región? Ni los datos de la telemetría de ESET ni los trabajos de investigación han identificado aún ataques a infraestructuras críticas que tengan como objetivo primordial la desestabilización en Latinoamérica. Sin embargo, esto no significa que las organizaciones que administran servicios críticos no sean objetivo de ciberataques o que no hayan sufrido algún incidente de ciberseguridad.
De hecho, junto al equipo de Investigación de Laboratorio de ESET, en nuestro podcast dedicamos un episodio especial a la tendencias 2023, entre las cuales se destacaba el ataque a las infraestructuras críticas. Como vemos, un tema que lejos de pasar de moda, experimenta una vigencia tan real como preocupante.