En primer lugar, se han redactado reglamentos de seguridad cibernética que podrían ver bloqueadas las importaciones de tecnología de los Estados Unidos por motivos de seguridad nacional. Y ahora hemos conocido a través de Epoch Times, que China se está preparando para reemplazar el sistema operativo Windows con una alternativa que se está desarrollando dentro del país. Todo esto, a fin de evitar que EEUU hackee la red militar china.
El medio digital revela que en China se ha creado ya el Grupo de Liderazgo de Información sobre Seguridad de Internet (ISILG) para reemplazar a Windows, y el sistema UNIX, utilizado por el ejército chino. El ISILG forma parte del Ejército Popular de Liberación (EPL) y obedece al mando del Comité Central del Partido Comunista Chino (PCCh).
Es evidente que el entorno tecnológico es un espacio de tensiones para la seguridad nacional de ambos lados. Mientras que Occidente se ha vuelto cada vez más hostil hacia Huawei, la atención china se ha centrado en la tecnología de redes hecha en Occidente. Además, China cree que los controladores lógicos programables desarrollados por los alemanes utilizados en la mayoría de los sistemas industriales de control chinos representan riesgos para la seguridad nacional.
China basa sus temores de filtración de documentos y piratería a través de sistemas operativos como Windows, UNIX o Linux, en ejemplos del pasado que van desde el caso Snowden en 2013, hasta el malware de Shadow Brokers.
Y no es la primera vez que China busca reemplazar a Windows, seguramente todos ya habrán pensado en Linux. Sin embargo, ya han dejado por sentado que cualquier variación de Linux no cumpliría con los estándares del resumen de diseño seguro de ISILG. Lo que China quiere es construir un sistema operativo muy seguro que garantice protección contra los ataques occidentales, y quiere hacerlo desde la oscuridad.
«Claramente, China tiene la capacidad de desarrollo de tecnología«, dice Ian Thornton-Trump, jefe de seguridad de AmTrust International, «por lo que destinar los recursos a un sistema operativo seguro por defecto y que no sea de consumo tiene sentido«. Sin embargo, el experto aún lo ve como una respuesta perfecta para la lista negra de Huawei de los EEUU. Thornton-Trump concluye que «el patriotismo parece más favorable que el pragmatismo«.
Los hackers detrás del notorio malware conocido como Trisis, código que se dirige a sistemas de seguridad cruciales en instalaciones industriales peligrosas, están de vuelta.
Investigadores de la firma de ciberseguridad FireEye que rastrearon a los piratas informáticos detrás de Trisis (también conocida como Tritón), que se enfocaron en una planta petroquímica saudí en 2017, encontraron que el mismo grupo ha infectado una segunda instalación no especificada de «infraestructura crítica«. El grupo estaba vinculado previamente al gobierno ruso.
FireEye no dijo quién era el nuevo objetivo. Esta es una práctica a veces común en los hackeos que son revelados por las empresas contratadas para responder a ellos; a las empresas de seguridad a menudo no se les permite revelar información sobre sus clientes. Infraestructura crítica es un término que se usa ampliamente en el mundo de la seguridad, pero a menudo se refiere a centrales eléctricas, instalaciones de tratamiento de agua, redes eléctricas y otras instalaciones de alto perfil que brindan importantes servicios sociales.
Poco más de un mes después de que Venezuela experimentara el peor y más costoso apagón eléctrico en su historia reciente, y que el presidente Madura atribuyera como un ataque electromagnético imperialista a los EEUU para desestabilizar a la región, sólo podemos especular que si efectivamente se trató de un ciberataque, Venezuela podría haber sido víctima del mismo (o una variante de) Trisis.
Apagón en Venezuela en Marzo, 2019 deja paralizado a gran parte del país por casi siete días.
La próxima generación en ciberataques
Desde su aparición en 2017, se describió a Trisis como «la próxima generación en ciberataques» que, por su propia existencia, intensificaría la carrera armamentista de hackeo global.
No hay muchos detalles disponibles sobre el segundo ataque, aparte de que se descubrió que el grupo estaba implementando malware creado especialmente para redes de TI tradicionales para robar credenciales y ejecutar comandos en máquinas remotas. Eso es a diferencia del ataque original de Trisis, que se dirigió directamente a los sistemas de control industrial. El nuevo descubrimiento apunta a la actividad continua de uno de los grupos de piratería más infames del mundo.
El nuevo ataque reportado fue capturado en las primeras etapas de un intento de desarrollar la capacidad de causar daño físico en las instalaciones seleccionadas. Los defensores encontraron nuevos conjuntos de herramientas personalizadas, diseñadas para obtener acceso a los sistemas de sus objetivos.
Los investigadores también investigaron a profundidad al ataque de agosto de 2017 contra las instalaciones sauditas, revelando que los piratas informáticos pasaron más de un año trabajando metódicamente para obtener acceso sin alertar a los defensores. La cantidad de tiempo invertido y enfoque deliberado, según los investigadores, sugiere un enfoque en el trabajo silencioso que probablemente significa que están presentes en otras instalaciones específicas y aún no se han detectado.
El ataque de Trisis de 2017 podría haber destruido la instalación petroquímica saudita si el software no hubiera contenido un error. En lugar de causar un daño importante, el ataque solo provocó un cierre y puso en alerta al mundo de la ciberseguridad.
Historia de Malware ICS
La crisis pertenece a una clase de malware extremadamente rara y poderosa que se dirige a los sistemas industriales de control (ICS por sus siglas en Inglés).
En 2010, Stuxnet fue una de las ciberamenazas ICS más sofisticadas descubiertas. Esta arma cibernética fue creada para apuntar a centrífugas iraníes. Fue capaz de reprogramar un controlador lógico programable (PLC) particular para cambiar la velocidad de las rotaciones de la centrífuga. El objetivo de Stuxnet no era destruir, sino tomar el control del proceso industrial.
En 2013, el malware Havex se dirigió a las redes de energía, empresas de electricidad y muchos otros. Los atacantes recolectaron una gran cantidad de datos y monitorearon sistemas industriales de forma remota. Havex fue creado para espionaje y sabotaje.
BlackEnergy se descubrió en 2015. Se enfocó en infraestructura crítica y destruyó archivos almacenados en estaciones de trabajo y servidores. En Ucrania, 230.000 personas quedaron en la oscuridad durante seis horas después de que los piratas informáticos comprometieron varios centros de distribución de energía.
En 2015, IronGate fue descubierto en fuentes públicas. Se enfocó en los sistemas de control de Siemens y tenía funcionalidades similares a las de Stuxnet. No está claro si esto fue una prueba de concepto o una herramienta de prueba de penetración simple.
Industroyer (también llamado Crashoverride) volvió a golpear a Ucrania en 2016. El malware incorporó un componente de limpieza de datos y un módulo de denegación de servicios distribuidos. Fue diseñado para la destrucción. El ataque provocó un segundo cierre de la red eléctrica de Ucrania.
En 2017, Tritón/Trisis fue descubierto. El ataque no tuvo éxito; las consecuencias podrían haber sido desastrosas.
«Estos ataques a menudo también son llevados a cabo por actores estado que pueden estar interesados en prepararse para operaciones de contingencia en lugar de realizar un ataque inmediato«, señala el informe de FireEye. “Durante este tiempo, el atacante debe garantizar el acceso continuo al entorno objetivo o correr el riesgo de perder años de esfuerzo y la propiedad de malware tipo ICS potencialmente costoso. Este ataque no fue la excepción«.
El informe de FireEye contiene una lista de archivos, hashes, tácticas, técnicas y procedimientos (TTP) para ayudar a defenderse ante el grupo de hackers aún activo.
«No solo se pueden usar estos TTP para encontrar evidencia de intrusiones, sino que la identificación de la actividad que tiene fuertes superposiciones con las técnicas favoritas del actor puede llevar a evaluaciones más sólidas de la asociación de actores, lo que refuerza aún más los esfuerzos de respuesta a incidentes«, señala el informe.
