Agencias/Ciudad de México.- Gobiernos y grandes corporaciones a nivel mundial intentan averiguar si ellos también fueron víctimas de una campaña global de ciberespionaje que transgredió varias agencias gubernamentales de Estados Unidos e involucró un software usado por miles de organizaciones. Rusia, el principal sospechoso, niega estar involucrado. Investigadores de ciberseguridad dijeron que el impacto del hackeo va más allá de las agencias estadounidenses afectadas, entre las que se encuentran los departamentos del Tesoro y del Comercio, aunque no se ha revelado qué empresas o gobiernos fueron atacados.
Las agencias del gobierno estadounidense y empresas privadas se apresuraron el lunes a asegurar sus redes informáticas luego de que se dio a conocer una sofisticada y prolongada intrusión que se sospecha fue llevada a cabo por hackers rusos.
De momento no está clara la magnitud del daño. Pero la posible amenaza fue lo suficientemente significativa para que la unidad de ciberseguridad del Departamento de Seguridad Nacional instruyera a todas las agencias federales a eliminar el software de gestión de redes que fue comprometido y se tenía previsto que miles de compañías hicieran lo mismo.
Lo que llamó la atención de la operación fue su potencial alcance, así como la forma en la que los perpetradores lograron perforar las defensas cibernéticas y acceder al correo electrónico y archivos internos del Departamento del Tesoro y del de Comercio y posiblemente de otros sitios.
La intrusión fue una prueba fehaciente de la vulnerabilidad de las redes del gobierno que se supone son seguras, incluso después de hackeos anteriores.
“Es un recordatorio de que la ofensiva es más fácil que la defensa y de que aún tenemos mucho trabajo por hacer”, dijo Suzanne Spaulding, exfuncionaria federal de ciberseguridad que actualmente es la principal asesora en el Centro de Estudios Estratégicos e Internacionales.
La identidad del perpetrador no se ha dado a conocer. Un funcionario del gobierno estadounidense, que habló bajo condición de anonimato debido a una investigación en curso, comentó a The Associated Press el lunes que se sospecha de hackers rusos.
El CEO de Dominion testificó hoy que Dominion no utiliza "Solar Winds".
Solar Winds todavía está integrado en la codificación HTML de Dominion.
pic.twitter.com/ADJYiEKP1M
PlOP— Inversiones Sáenz (@InversionesSaen) December 16, 2020
¿QUIÉNES RESULTARON AFECTADOS?
El periódico The Washington Post, citando fuentes no identificadas, dijo que el ataque fue llevado a cabo por hackers del gobierno ruso que utilizan los apodos APT29 o Cozy Bear y que forman parte del servicio de inteligencia exterior de esa nación.
La intrusión se dio a conocer luego de que una importante empresa de ciberseguridad, FireEye, supo que habían irrumpido en su sistema y alertó que gobiernos extranjeros y empresas grandes también habían resultado comprometidas. La compañía no señaló un posible sospechoso, aunque muchos expertos creen que Rusia era el responsable dado el nivel de las capacidades que estuvieron involucradas.
FireEye es una importante compañía de seguridad, respondió a vulneraciones de datos de Sony y Equifax y ayudó a Arabia Saudí a frustrar un ciberataque contra su industria petrolera, y ha tenido un papel importante en identificar a Rusia como la protagonista de numerosas agresiones en el inframundo cada vez mayor del conflicto digital a nivel global.
Ni Mandia ni un portavoz de FireEye dijeron cuándo fue que la compañía detectó el hackeo o quién podría ser el responsable. Pero muchos en la comunidad de la seguridad cibernética sospechan de Rusia.
“Creo que lo que sabemos de la operación concuerda con un actor estatal ruso”, dijo el ex hacker de la Agencia de Seguridad Nacional, Jake Williams, presidente de Rendition Infosec. “Se haya accedido o no a la información de clientes, continúa siendo una gran victoria para Rusia”.
Mandia, de FireEye, dijo que había concluido que “una nación con capacidades ofensivas de primer nivel” estuvo detrás del ataque.
Las herramientas robadas del “equipo rojo”, equivalentes a programas maliciosos del mundo real, podrían ser peligrosas en las manos equivocadas. FireEye dijo que no había indicio de que las hubieran utilizado con fines maliciosos. Sin embargo, expertos en ciberseguridad afirman que hackers muy especializados de estados nacionales podrían modificarlas y utilizarlas en un futuro contra objetivos gubernamentales o industriales.
El hackeo fue el golpe más grande contra la comunidad estadounidense de seguridad cibernética desde que un grupo misterioso conocido como “Shadow Brokers” puso disponibles numerosas herramientas de hackeo de alto nivel robadas a la Agencia de Seguridad Nacional. Estados Unidos cree que Corea del Norte y Rusia aprovecharon las herramientas robadas para desatar devastadores ataques cibernéticos globales.
Hackers infectaron varias versiones del software de administración de redes #Orion, de #SolarWinds, con lo que adquirieron el control de más de 18 mil sistemas del gobierno y defensa de EEUU, sus contratistas y varias corporaciones de Fortune 500 https://t.co/i1u5U8woSG pic.twitter.com/tGpPLR8mbe
— One Arrow Co. (@OneArrowCo) December 15, 2020
¿HAY MÁS ATAQUES CIBERNÉTICOS?
La Agencia de Seguridad Cibernética y de Seguridad de la Infraestructura de la nación advirtió que “usuarios de terceras partes no autorizados” podrían hacer mal uso de las herramientas del equipo rojo de FireEye.
FireEye, con sede en Milpitas, California, y que cotiza en bolsa, dijo el martes en un comunicado que había desarrollado 300 contramedidas para proteger a clientes y otros de las herramientas robadas y las estaba poniendo disponibles de inmediato.
SolarWinds, de Austin, Texas, ofrece monitoreo de redes y otros servicios técnicos a cientos de miles de organizaciones en el mundo, incluidas la mayoría de las empresas de la lista Fortune 500 y agencias gubernamentales de América del Norte, Europa, Asia y el Medio Oriente.
FireEye ha estado a la vanguardia en las investigaciones de grupos estatales de hackeo, incluidos de Rusia que intentan penetrar en instituciones estatales y locales que administran elecciones en Estados Unidos. Se atribuye a FireEye haber responsabilizado a hackers militares rusos los ataques contra la red de energía de Ucrania ocurridos a mediados del invierno en 2015 y 2016. Los caza-amenazas de la compañía también han ayudado a empresas de redes sociales como Facebook a identificar a actores maliciosos.
Su producto comprometido, llamado Orion, representa casi la mitad de los ingresos anuales de SolarWinds. En los primeros nueve meses de este año, la empresa tuvo ingresos por un total de 753,9 millones de dólares. Su monitoreo centralizado busca problemas en las redes informáticas de una organización, lo que significa que acceder al sistema dio a los agresores una “vista de Dios” de dichas redes.
Ni SolarWinds ni las autoridades de ciberseguridad de Estados Unidos han identificado públicamente qué organizaciones fueron atacadas. Sólo porque una empresa o agencia tiene a SolarWinds como proveedor, no necesariamente significa que sea vulnerable. El malware que dio acceso remoto a la puerta trasera fue insertado en las actualizaciones del producto Orion de SolarWinds entre marzo y junio, pero no todos los clientes las instalaron.
SolarWinds dijo que le informaron que una “nación extranjera” infiltró sus sistemas con malware. Ni el gobierno de Estados Unidos ni las compañías afectadas han dicho públicamente qué país creen que sea responsable.
Un funcionario de Estados Unidos, que habló bajo condición de anonimato por ser una investigación en curso, le dijo el lunes a The Associated Press que se sospecha de hackers rusos. Rusia dijo el lunes que “no tenía nada que ver” con el hackeo.
ICYMI: We directed federal civilian agencies to review their networks for indicators of compromise & disconnect or power down #SolarWindsOrion products immediately. Learn more: https://t.co/VFZ81W2Ow7#InfoSecurity #InformationSecurity #InfoSec #Cybersecurity #SolarWinds #NetSec pic.twitter.com/gKMmxwr7rK
— Cybersecurity and Infrastructure Security Agency (@CISAgov) December 15, 2020
¿QUÉ SE PUEDE HACER PARA EVITAR Y CONTRARRESTAR ESTOS HACKEOS?
El espionaje es tan antiguo como la humanidad y la recopilación de inteligencia no infringe leyes internacionales — y la defensa cibernética es complicada. Pero llega a haber represalias contra gobiernos por ciberespionaje ofensivo. Pueden expulsar a diplomáticos o se pueden imponer sanciones. El gobierno del presidente Barack Obama expulsó a diplomáticos rusos en respuesta a la interferencia de hackers militares del Kremlin a favor de Donald Trump en la elección de 2016.
La ciberseguridad “no ha sido una prioridad presidencial” durante el gobierno de Trump y el presidente saliente ha tenido la capacidad o la disposición de responsabilizar a Rusia por sus acciones agresivas en el ciberespacio, dijo Chris Painter, quien coordinó la ciberpolítica en el Departamento de Estado durante el gobierno de Obama.
“Creo que eso contribuye a la bravuconería de Rusia”, dijo. El equipo de seguridad nacional del presidente electo Joe Biden ha indicado que será menos tolerante y se anticipa que restaurará el puesto de coordinador de ciberseguridad de la Casa Blanca que Trump eliminó.
Las autoridades estadounidenses reconocieron que agencias federales se vieron afectadas por el hackeo el domingo, proporcionando pocos detalles. La Agencia de Seguridad Cibernética y de Infraestructura (CISA por sus siglas en inglés) dijo en una inusual directiva que la red ampliamente utilizada del software SolarWinds se había visto comprometida y que debería de ser eliminada de cualquier sistema que la utilice.
U.S. Treasury, Commerce Depts. Hacked Through SolarWinds Compromise https://t.co/dvDjga3QHd via @briankrebs pic.twitter.com/HVb5NrF2Dk
— Steve Sanders (@SteveSanders7) December 15, 2020
Hackeo a agencias federales habría expuesto secretos
Algunos de los secretos mejor guardados de Estados Unidos podrían haber sido robados en una disciplinada operación de varios meses de la que se responsabiliza a hackers elite del gobierno ruso. Las posibilidades de lo que se pudo haber sustraído son desconcertantes.
¿Los hackers robaron secretos nucleares? ¿Datos de la vacuna contra el COVID-19? ¿Planos para sistemas armamentísticos de próxima generación?
Pasarán semanas, tal vez años en algunos casos, antes de que los detectives digitales que investigan las redes del gobierno federal y de industrias privadas obtengan respuestas. Estos hackers son profesionales consumados al momento de cubrir sus huellas, aseguran los expertos. Algunos tal vez nunca sean detectados.
Lo que parece claro es que esta campaña — que expertos en seguridad cibernética aseguran que exhibe las mismas tácticas y técnicas de la agencia de inteligencia extranjera rusa SVR — terminará siendo una de las más prolífica en los anales del ciberespionaje.
Agencias del gobierno de Estados Unidos, incluyendo los departamentos del Tesoro y de Comercio, fueron parte de la decena de objetivos del sector público y privado que se sabe fueron infiltrados en ataques que datan de marzo, mediante una actualización de software comercial distribuido a miles de compañías y agencias gubernamentales de todo el mundo. Un comunicado del Pentágono difundido el lunes indicó que había usado el software. Señaló que “emitió órdenes y directrices para proteger” sus redes. No especificó — por “motivos de seguridad operacional” — si alguno de sus sistemas había sido infiltrado.
El martes, el secretario interino de Defensa Chris Miller dijo a CBS News que hasta el momento no había evidencia de que el sistema hubiera quedado comprometido.
En los meses posteriores a la actualización, los hackers extrajeron cuidadosamente datos, a menudo cifrándolos para no hacer evidente su sustracción, y cubriendo sus huellas con gran pericia.
Thomas Rid, experto en conflictos cibernéticos para Johns Hopkins, dijo que la posible eficacia del operativo puede compararse con el hackeo de tres años de duración de nombre “Moonlight Maze” que perpetró Rusia en la década de 1990 contra objetivos del gobierno estadounidense, incluyendo la NASA y el Pentágono. Una investigación federal determinó que la altura de los documentos — si hubieran sido imprimidos y apilados — sería tres veces mayor a la altura del Monumento a Washington.
En este caso “un estimado realista es que los documentos que extrajeron de varias agencias del gobierno sea del tamaño de varios Monumentos a Washington”, dijo Rid. “¿Cómo usarían eso? Posiblemente ni ellos lo sepan aún”.
El ataque a FireEye desvela una operación encubierta muy sofisticada. Han troyanizado Orion, una herramienta de red de SolarWinds y han firmado con el cert bueno el binario. Se sabe desde hace días pero hoy es público. Ni el cert está revocado ni los AV lo detectan en masa.Sigue¬ pic.twitter.com/WI6tuPirXM
— Sergio de los Santos (@ssantosv) December 14, 2020
