Los hackers detrás del notorio malware conocido como Trisis, código que se dirige a sistemas de seguridad cruciales en instalaciones industriales peligrosas, están de vuelta.
Investigadores de la firma de ciberseguridad FireEye que rastrearon a los piratas informáticos detrás de Trisis (también conocida como Tritón), que se enfocaron en una planta petroquímica saudí en 2017, encontraron que el mismo grupo ha infectado una segunda instalación no especificada de «infraestructura crítica«. El grupo estaba vinculado previamente al gobierno ruso.
FireEye no dijo quién era el nuevo objetivo. Esta es una práctica a veces común en los hackeos que son revelados por las empresas contratadas para responder a ellos; a las empresas de seguridad a menudo no se les permite revelar información sobre sus clientes. Infraestructura crítica es un término que se usa ampliamente en el mundo de la seguridad, pero a menudo se refiere a centrales eléctricas, instalaciones de tratamiento de agua, redes eléctricas y otras instalaciones de alto perfil que brindan importantes servicios sociales.
Poco más de un mes después de que Venezuela experimentara el peor y más costoso apagón eléctrico en su historia reciente, y que el presidente Madura atribuyera como un ataque electromagnético imperialista a los EEUU para desestabilizar a la región, sólo podemos especular que si efectivamente se trató de un ciberataque, Venezuela podría haber sido víctima del mismo (o una variante de) Trisis.
La próxima generación en ciberataques
Desde su aparición en 2017, se describió a Trisis como «la próxima generación en ciberataques» que, por su propia existencia, intensificaría la carrera armamentista de hackeo global.
No hay muchos detalles disponibles sobre el segundo ataque, aparte de que se descubrió que el grupo estaba implementando malware creado especialmente para redes de TI tradicionales para robar credenciales y ejecutar comandos en máquinas remotas. Eso es a diferencia del ataque original de Trisis, que se dirigió directamente a los sistemas de control industrial. El nuevo descubrimiento apunta a la actividad continua de uno de los grupos de piratería más infames del mundo.
Los atacantes detrás de Trisis también tienen más trabajo en su currículum, incluyendo ciberataques a firmas industriales en EEUU.
El nuevo ataque reportado fue capturado en las primeras etapas de un intento de desarrollar la capacidad de causar daño físico en las instalaciones seleccionadas. Los defensores encontraron nuevos conjuntos de herramientas personalizadas, diseñadas para obtener acceso a los sistemas de sus objetivos.
Los investigadores también investigaron a profundidad al ataque de agosto de 2017 contra las instalaciones sauditas, revelando que los piratas informáticos pasaron más de un año trabajando metódicamente para obtener acceso sin alertar a los defensores. La cantidad de tiempo invertido y enfoque deliberado, según los investigadores, sugiere un enfoque en el trabajo silencioso que probablemente significa que están presentes en otras instalaciones específicas y aún no se han detectado.
El ataque de Trisis de 2017 podría haber destruido la instalación petroquímica saudita si el software no hubiera contenido un error. En lugar de causar un daño importante, el ataque solo provocó un cierre y puso en alerta al mundo de la ciberseguridad.
Historia de Malware ICS
La crisis pertenece a una clase de malware extremadamente rara y poderosa que se dirige a los sistemas industriales de control (ICS por sus siglas en Inglés).
- En 2010, Stuxnet fue una de las ciberamenazas ICS más sofisticadas descubiertas. Esta arma cibernética fue creada para apuntar a centrífugas iraníes. Fue capaz de reprogramar un controlador lógico programable (PLC) particular para cambiar la velocidad de las rotaciones de la centrífuga. El objetivo de Stuxnet no era destruir, sino tomar el control del proceso industrial.
- En 2013, el malware Havex se dirigió a las redes de energía, empresas de electricidad y muchos otros. Los atacantes recolectaron una gran cantidad de datos y monitorearon sistemas industriales de forma remota. Havex fue creado para espionaje y sabotaje.
- BlackEnergy se descubrió en 2015. Se enfocó en infraestructura crítica y destruyó archivos almacenados en estaciones de trabajo y servidores. En Ucrania, 230.000 personas quedaron en la oscuridad durante seis horas después de que los piratas informáticos comprometieron varios centros de distribución de energía.
- En 2015, IronGate fue descubierto en fuentes públicas. Se enfocó en los sistemas de control de Siemens y tenía funcionalidades similares a las de Stuxnet. No está claro si esto fue una prueba de concepto o una herramienta de prueba de penetración simple.
- Industroyer (también llamado Crashoverride) volvió a golpear a Ucrania en 2016. El malware incorporó un componente de limpieza de datos y un módulo de denegación de servicios distribuidos. Fue diseñado para la destrucción. El ataque provocó un segundo cierre de la red eléctrica de Ucrania.
- En 2017, Tritón/Trisis fue descubierto. El ataque no tuvo éxito; las consecuencias podrían haber sido desastrosas.
«Estos ataques a menudo también son llevados a cabo por actores estado que pueden estar interesados en prepararse para operaciones de contingencia en lugar de realizar un ataque inmediato«, señala el informe de FireEye. “Durante este tiempo, el atacante debe garantizar el acceso continuo al entorno objetivo o correr el riesgo de perder años de esfuerzo y la propiedad de malware tipo ICS potencialmente costoso. Este ataque no fue la excepción«.
El informe de FireEye contiene una lista de archivos, hashes, tácticas, técnicas y procedimientos (TTP) para ayudar a defenderse ante el grupo de hackers aún activo.
«No solo se pueden usar estos TTP para encontrar evidencia de intrusiones, sino que la identificación de la actividad que tiene fuertes superposiciones con las técnicas favoritas del actor puede llevar a evaluaciones más sólidas de la asociación de actores, lo que refuerza aún más los esfuerzos de respuesta a incidentes«, señala el informe.
leer más