Los ilegales del GRU

Los ilegales son oficiales de inteligencia que operan bajo identidades y nacionalidades falsas, sin inmunidad diplomática. Haciéndose pasar por ciudadanos corrientes de otros países, mantienen identidades ficticias y pasan años construyendo vidas normales mientras realizan actividades de espionaje. Frente a otros espías, estos agentes no tienen protección diplomática: si los descubren, van a prisión.

La inteligencia soviética mantuvo un programa muy extenso de agentes ilegales, con un nivel de actividad muy alto. Aunque probablemente reducido, estos programas y actividades han continuado en la era rusa. La Primera Dirección Principal del KGB era la responsable de la inteligencia exterior, y dentro de esta Dirección Principal, la Dirección S supervisaba a los ilegales. La antigua Primera Dirección Principal del KGB es hoy el SVR, responsable de la inteligencia exterior rusa, y todavía mantiene ilegales en todo el mundo. De hecho, los ilegales más famosos de este siglo pertenecían al SVR: en junio de 2010, diez ciudadanos rusos que se hacían pasar por ciudadanos estadounidenses fueron arrestados por el FBI. Llevaban vidas normales para poder acceder a inteligencia, penetrando en el mundo académico, industrial y político de EE. UU. La operación —incluyendo las identidades reales y falsas de los espías— fue tan famosa que inspiró la serie de televisión “The Americans”, así como varios libros. Quizá el más célebre sea “The woman who can’t keep secrets” (existe versión en castellano de este libro: La mujer que no puede guardar secretos), escrito por Elena VAVILOVA como una semi‑autobiografía. Junto con su marido, VAVILOVA fue una de los diez ilegales rusos arrestados por el FBI, usando la identidad falsa de Tracey Lee Ann Foley.

La mayoría de los ilegales soviéticos pertenecían al KGB, y la mayoría de los ilegales rusos pertenecen al SVR. Parece claro que el GRU no explotó tanto como el KGB o el SVR la técnica operativa de los ilegales. Por ello, la mayoría de referencias sobre ilegales soviéticos o rusos se centran en el trabajo del KGB y el SVR. Incluso “The Illegals”, de Shaun Walker, una de las referencias recientes más importantes, menciona pocas veces al GRU. Sin embargo, la inteligencia militar soviética y rusa ha mantenido su propio programa de ilegales durante más de 100 años.

Durante la Segunda Guerra Mundial, el GRU desplegó ilegales en todas las áreas geográficas relevantes para el conflicto. El más conocido —y el ilegal del GRU más exitoso de la historia— fue Richard SORGE, operativo en Japón. SORGE ha sido definido como “el mejor espía del siglo”. Ian Fleming afirmó que SORGE era “el hombre al que considero el espía más formidable de la historia”, y John Le Carré lo calificó como “el espía que pone fin a todos los espías”. Antes y durante la Segunda Guerra Mundial, SORGE penetró en la embajada alemana y en el círculo interno nazi en Tokio, proporcionando a STALIN inteligencia muy valiosa sobre los movimientos nazis contra la Unión Soviética. Esta operación, conocida como el “círculo de espionaje de Tokio”, fue la operación del GRU sobre la que más se escribió durante el siglo XX.

También durante la Segunda Guerra Mundial, la Orquesta Roja (Die Rote Kapelle) fue establecida como una red de espionaje en la Europa occidental ocupada por los nazis. Aunque la Orquesta Roja era una operación del GRU, estaba formada por un conjunto heterogéneo de personas con un denominador común: el odio al nazismo. La Orquesta Roja organizaba células clandestinas para gestionar agentes, y la red —o al menos parte de ella— estaba dirigida por el oficial del GRU Leopold TREPPER. TREPPER era él mismo un ilegal, y varios miembros de la red también eran ilegales del GRU. Utilizando tecnologías modernas para la época, principalmente radios avanzadas, la Orquesta Roja fue capaz de proporcionar inteligencia de alta calidad al ejército soviético. De hecho, fue el uso de esas radios lo que llevó a su detección y neutralización.

Además de Japón y Europa, el GRU también operó ilegales en EE. UU. durante la Segunda Guerra Mundial. Este es el caso de George KOVAL, quien se infiltró en el Proyecto Manhattan, proporcionando a la inteligencia soviética información crítica para el desarrollo de armas nucleares. KOVAL falleció en 2006, y en noviembre de 2007 Vladimir PUTIN le concedió a título póstumo la Medalla de Héroe de Rusia. En el comunicado de prensa asociado, PUTIN señaló que KOVAL “proporcionó información que ayudó a reducir considerablemente el tiempo que tardó la Unión Soviética en desarrollar su propia bomba atómica”.

Tras la Segunda Guerra Mundial, apenas puede encontrarse información abierta relacionada con las actividades de ilegales de la GRU durante la Guerra Fría. Quizás, en ese periodo el GRU pasó a otras técnicas operativas, abandonando a los ilegales de largo plazo como método central y dejando esa misión principalmente al KGB. O quizás simplemente los ilegales del GRU trabajaron tan bien que nadie detectó sus leyendas. Quién sabe.

Sin embargo, esta actividad decreciente de ilegales del GRU parece que ha cambiado en la etapa de PUTIN. En 2018, Olga KOLOBOVA, alias Maria Adela Kuhfeldt Rivera, viajó desde Italia a Moscú con un pasaporte ruso y desapareció. KOLOBOVA era presuntamente una ilegal del GRU que se hacía pasar por Maria Adela Kuhfeldt Rivera, una socialité nacida en Perú y exitosa diseñadora de joyas durante años. Supuestamente, KOLOBOVA estaba tratando de hacer un acercamiento a las oficinas de la OTAN en Nápoles.

Recientemente, varias detenciones de ilegales del GRU (ojo, y también del SVR) después de la invasión rusa de Ucrania en 2022 han salido a la luz. Uno de estos ilegales era Pavel RUBTSOV, bien conocido en España. Junto a él, otro ilegal del GRU, Mikhail MIKUSHIN, fue intercambiado en un canje de prisioneros entre EE. UU. y Rusia el 1 de agosto de 2024. MIKUSHIN se hacía pasar por un académico brasileño en una universidad noruega y fue detenido en octubre de 2022 por las autoridades de este país, al considerarlo “una amenaza para los intereses nacionales fundamentales”.

También en 2022, Sergey CHERKASOV fue detenido en Holanda mientras intentaba infiltrarse en la Corte Penal Internacional en La Haya. CHERKASOV era un ilegal del GRU operando bajo una identidad brasileña falsa: Victor Muller Ferreira. Como las autoridades neerlandesas impidieron su entrada al país, fue devuelto a Brasil, donde fue arrestado. Tanto CHERKASOV como KOLOBOVA fueron identificados por un fallo de OPSEC en la metodología del GRU. Tras la identificación de los dos operativos del servicio implicados en el envenenamiento con Novichok de Sergey y Yulia SKRIPAL en Salisbury, Anatoly CHEPIGA y Alexander MISHKIN periodistas de investigación descubrieron que el GRU había proporcionado a sus espías pasaportes con numeraciones consecutivas. Tanto los pasaportes de CHERKASOV y de KOLOBOVA estaban cerca de los de CHEPIGA y MISHKIN.

La inteligencia soviética trabajó mucho con ilegales. Aunque la tecnología ha hecho que las operaciones HUMINT clandestinas sean cada vez más arriesgadas, el interés ruso por los ilegales sigue vivo. Sin embargo, la explotación de ilegales es un plan de trabajo a largo plazo con beneficios poco claros, y probablemente hoy Rusia necesita actuar más rápido ante sus enemigos. Por ello, quizás el mantenimiento del programa de ilegales ruso sea hoy más una cuestión emocional que práctica. En cualquier caso, parece claro que el GRU mantiene todavía su programa de ilegales, que ha estado activo desde su fundación hace más de un siglo.

Bushcraft digital

Imaginemos (sólo imaginemos, por favor) una situación extrema en la que la vida en la ciudad sea muy complicada. Desde una guerra hasta una falta de suministros básicos (y por básicos no hablamos de Internet) continuada en el tiempo. En este caso, algunos trataríamos de llegar a pueblos que conocemos y en los que los recursos naturales son mayores. Si consigo llegar a mi pueblo, tendré al menos agua potable, fuego, posibilidad de cazar (aunque no sepa hacerlo), recolectar frutos o encontrar setas comestibles. Posibilidades de sobrevivir. No parece gran cosa, pero desde luego mucho mejor de lo que sería la vida en esas circunstancias dentro de una gran ciudad. O eso creo, aunque espero no tener que comprobarlo.

Llevando esta situación al extremo, encontramos el bushcraft, entendido como la práctica de habilidades y conocimiento para sobrevivir y prosperar en el medio natural. Existen diferencias entre el bushcraft y la supervivencia pura; esta última suele estar acotada en el tiempo y viene impuesta, mientras que el objetivo del bushcraft es una estancia prolongada en la naturaleza, habitualmente de forma voluntaria. No obstante, cuando hablamos de una situación extrema imaginaria como a la que hacíamos referencia al principio de este post, planteada seguramente sería difícil diferenciar dónde empieza el bushcraft y acaba la supervivencia pura: es una situación impuesta, sí, pero seguramente a medio o largo plazo, en la que no únicamente buscaríamos sobrevivir unos días…

Discusiones filosóficas entre bushcraft y supervivencia aparte, más allá del idealismo de poder vivir en el medio natural y valerse por uno mismo, parece que últimamente aumenta el miedo a que una situación como la imaginada pueda darse en la realidad. Y factores como pandemias, apagones, catástrofes naturales, polarización política… ayudan a incrementar este miedo, con o sin razón. Aquí entran los preppers, los preparacionistas, personas que se preparan activamente para esta situación extrema almacenando herramientas y alimentos o diseñando planes de supervivencia.

Hay muchos manuales de supervivencia y bushcraft, y mucho material técnico: cuchillos, hachas, mochilas… pero en ninguno de estos libros, ni entre los materiales habituales de bushcraft o supervivencia, se habla de una supervivencia, o de un bushcraft, digital. Evidentemente, si la situación es de lucha por tu vida y de supervivencia en la montaña, a pocos nos preocupará un fichero PDF, un pendrive o una foto digital de nuestras últimas vacaciones. Pero ¿y si nuestra supervivencia no es en ese medio, sino en un medio urbano, tecnológico, avanzado… de otro país? ¿Cómo sería un preparacionista digital?

Volvamos a la situación imaginaria de partida, a ese extremo que hace que tengamos que cambiar radicalmente de vida. Pero en lugar de echarnos al monte, tenemos la suerte -o no- de meternos en un avión con lo puesto e irnos a una ciudad otro país de Europa. O de Norteamérica. O de LATAM. O de… vamos, a una ciudad de un país que no haya sido afectado por esa situación extrema y que siga su vida habitual en el primer mundo. Si fuera así, no serviría de nada disponer de un cuchillo de supervivencia o saber hacer fuego con un pedernal, pero sí que podría sernos útil información en formato digital. ¿Qué meteríamos en ese repositorio de supervivencia, o de bushcraft, digital, en ese “por si acaso”? Ojo, no digo que sea útil en la práctica, digo que podría serlo hipotéticamente… y que molestar, no molesta.

Dándole una vuelta a la situación, hay varias categorías de información digital potencialmente necesaria en esta situación. Antes de hablar de cada una de ellas, es necesario destacar que todo lo expuesto aplicaría no sólo a mí mismo, sino también a mi familia. Todos estos documentos los incluiría en el repositorio de supervivencia.

La primera categoría para incluir en ese repositorio es la más básica, la que me puede ayudar a decir quién soy, sirva luego o no. Así, lo primero que se me ocurre es digitalizar mi documentación de identidad. Mi pasaporte, en primer lugar, y mi DNI y permiso de conducir en segundo. Más allá de validez legal, que seguramente no la tiene, es lo único que tengo o puedo tener para demostrar que yo soy quien digo ser y no otra persona… ¿o no?

Una segunda categoría sería la que me permite algo más que identificarme, y es empezar a sobrevivir. Aquí identifico las cuentas bancarias y tarjetas asociadas, para poder disponer de dinero de alguna forma. También entrarían en esta categoría una copia del CV y los títulos académicos. Puede parecer una tontería, o ni siquiera estar convalidados, pero si tenemos que buscar trabajo, estos títulos pueden convertirse en la base de todo. ¿Quién o qué le dice a una persona de un país que soy ingeniero informático y no soy electricista, astronauta o taxidermista? Además, estos títulos tienen un número de registro único que, en algún momento, tras superar la situación extrema (si se supera) pueden sernos útiles para recuperar el título real. ¿O alguien se acuerda de memoria del número de registro o código de centro de su título? Ah, y por qué no, los ficheros de contraseñas: ese archivo cifrado, desde un KDBX a un PGP, con nuestras claves: correo, banca online, comercio… en fin, a los recursos que usamos en nuestro día a día.

Por último, la tercera categoría de documentación a digitalizar sería la que puede sernos útil a la vuelta, si la hay, a nuestras casas. Toda la anterior, por supuesto, pero también los títulos de propiedad, las escrituras de nuestra vivienda, el permiso de circulación o la ficha técnica de nuestro vehículo, entre otros. Sí, aquello que puede demostrar que algo de cierto valor nos pertenece. Si vuelvo a mi país, ¿quién demuestra que mi piso o mi coche son míos?

¿Dónde estaría el repositorio de supervivencia digital? Podría ser un pendrive o un disco USB con todos los archivos. O un repositorio en la nube, accesible desde cualquier lugar del mundo. O nuestro móvil, que a fin de cuentas es lo primero que cogeríamos si salimos corriendo de casa. O, mejor aún, en todos estos sitios. Cada uno tiene ventajas e inconvenientes. Un pendrive es privado, pero no deja de ser un dispositivo físico que tengo que intentar recuperar en un momento crítico en el que quizás mi cabeza está en otro sitio. Algo parecido sucede con el teléfono móvil, pero aquí tenemos unas ventajas sobre el pendrive: el móvil lo llevamos siempre con nosotros (ese pendrive o disco externo no) y además parte de nuestro repositorio de supervivencia está ya en el móvil, como son las tarjetas o alguna documentación identificativa. Por el contrario, si el móvil está descargado o bloqueado, no sirve de nada. Por último, la alternativa cloud es muy interesante desde el punto de vista de accesibilidad (¡ojo al 2FA si no tenemos móvil!), pero tiene el problema habitual de la nube: es el ordenador de otra persona, en el que nos puede dar reparo dejar documentación tan sensible… ¿no? Aquí, recordemos que esta información puede ir cifrada.

Antes de finalizar, unos comentarios: el primero, que esto surge de una situación extrema que ojalá no se produzca nunca, y que “irse” a otro país no es tan fácil. Sin ir más lejos, tenemos Estados Unidos y sus requisitos de acceso. El segundo, que se trata de meras ideas, no de una relación exhaustiva (seguro que con aportaciones de todos podemos mejorar el contenido de nuestro repositorio de supervivencia). Y el tercero, que no entramos en la validez legal de cada documento o su copia digitalizada. Sé que si llegas a Estados Unidos con un pasaporte en PDF o un título de ingeniero escaneado no te va a servir para que automáticamente todos te crean… pero daño no creo que haga. Simplemente se plantean ideas como base para poder empezar a hablar, aunque sea con un fichero PDF. Ah, y, por último: recuerda que este repositorio hay que mantenerlo actualizado, ya que algunos de los documentos caducan, o nuestras vidas cambian (nuevo vehículo, título adicional, etc.).

A modo de ficha resumen del repositorio de supervivencia:

  • Ubicación: móvil, nube o pendrive. O todos.
  • Contenido:
    • Prioridad 1: pasaporte, DNI, permiso de conducir.
    • Prioridad 2: CV, títulos académicos, cuentas bancarias, tarjetas, ficheros de contraseñas.
    • Prioridad 3: escrituras vivienda, títulos de propiedad, permiso de circulación, tarjeta vehículo…

La tecnología y el sabotaje asimétrico

En las últimas semanas, diferentes aeropuertos en Polonia, Noruega, Alemania o Dinamarca han sufrido perturbaciones mediante drones que han interferido en su funcionamiento normal. Vamos, que han sido saboteados. Estas acciones han vuelto a poner de manifiesto la eficacia de equipos relativamente baratos (y reutilizables en algunos casos) frente a sistemas de interceptación y defensa costosos. En pocas palabras: la asimetría de una acción, actualmente potenciada por la tecnología.

En WikiPedia se define el sabotaje como el “proceso por el cual se realiza una modificación, destrucción, obstrucción o cualquier intervención en una operación ajena, con el propósito de obtener algún beneficio para uno mismo o un perjuicio intencionado”. Podemos enfrentarnos a un sabotaje puramente tecnológico, por ejemplo, deteniendo durante más de un mes las operaciones de un fabricante británico de automóviles o retrasando varios años el programa nuclear iraní mediante un código dañino que altera el proceso de enriquecimiento de uranio. Pero podemos enfrentarnos también al factor humano, por ejemplo, a la influencia en personas para que tomen decisiones incorrectas, para que adopten posturas poco colaborativas o para que ralenticen la toma de decisiones clave.

El sabotaje es tan antiguo como los conflictos. Exactamente igual que el espionaje o la influencia. Y, al igual que con el espionaje o la influencia, la tecnología ha introducido ventajas clave para el saboteador. La tecnología no sólo facilita el sabotaje, sino que también multiplica los impactos y, además permite que actores hostiles con pocos recursos pongan en jaque a objetivos importantes. Agilidad, asimetría, accesibilidad, alto impacto, bajo riesgo… son algunas de las ventajas tecnológicas para el saboteador. Como lo son para cualquier operación de información donde la tecnología juegue un papel clave: guerra electrónica, operaciones en el ciberespacio, operaciones psicológicas…

[Read more…]

Nuevo libro YA disponible: Cyber GRU. Russian military intelligence in cyberspace

Por fin, CYBER GRU: Russian military intelligence in cyberspace, el nuevo libro que anunciaba hace unos días, se publicó el pasado 4 de julio. En el post anterior, presentaba la estructura del libro y la tabla de contenidos. Tanto la editorial como la imprenta han sido rápidos, y está listo antes de lo esperado. Como dije, este libro intenta arrojar algo de luz sobre las actividades en el ciberespacio de uno de los servicios de inteligencia más capaces y opacos del mundo: el GRU ruso.

La edición en papel del libro está disponible en Amazon, en modo impresión bajo demanda, y también directamente de la web de Naullibres. Según mi editor, imprimir el libro localmente y enviarlo después fuera de España haría que el precio fuera demasiado elevado por los gastos de envío. Como curiosidad, la edición impresa bajo demanda en Amazon tiene alguna pequeña diferencia si la comparamos con la local. En primer lugar, está completamente en blanco y negro, mientras que la edición local incluye alguna página en color, nada especialmente significativo. En segundo lugar, la edición local es algo más pequeña (150 × 225 mm) y la de Amazon un poco más grande (152.4 × 228.6 mm, o lo que es lo mismo, 6 × 9 pulgadas). Esto es debido a que Amazon sólo permite ciertos tamaños para su impresión bajo demanda. No son diferencias importantes, simplemente pequeños ajustes que tienes que tener en cuenta cuando trabajas con editoriales. Simplemente FYI.

Por supuesto, este libro ha sido escrito en LaTeX. Una vez acabado no quería invertir tiempo convirtiéndolo a un formato de libro electrónico como EPUB, así que el formato electrónico es PDF, con sus pros y sus contras. Aunque hay herramientas que automáticamente producen estos formatos, generar un libro electrónico decente no es inmediato. Sin embargo, Amazon no acepta libros electrónicos en PDF, por lo que si estás interesado en la versión digital del libro (mucho más barata), tienes que obtenerla vía Google Books.

Resumiendo:

Esto de las ediciones, las impresiones y demás es algo caótico para los que no trabajamos en ese mundo. En cualquier caso, espero que disfrutéis leyendo este libro tanto como yo he disfrutado escribiéndolo. Sentíos libres de enviarme cualquier comentario constructivo para su posible inclusión en una futura segunda edición del libro, si es que algún día decido escribirla (ahora, desde luego, no). ¡Disfrutad!

CYBER GRU: Russian military intelligence in cyberspace

Hoy he enviado a imprenta un nuevo trabajo titulado CYBER GRU: Russian military intelligence in cyberspace. Como su título indica, se trata un libro donde hablo del GRU en el ciberespacio, finalizado en mayo y que, tras unos retoques y un prólogo, está imprimiéndose para llegar a librerías, físicas y virtuales, en aproximadamente un mes. Sus casi 400 páginas recogen el trabajo de muchas noches y fines de semana de los últimos meses, sobre una base de material que ya tenía escrito sobre el GRU, incluyendo algún apartado que ya había sido publicado en este blog.

Para hablar del GRU en el ciberespacio, el libro establece en primer lugar conceptos básicos tanto de seguridad, inteligencia y defensa, como de ciberseguridad, ciberinteligencia y ciberdefensa. Posiblemente, estos conceptos sean de sobra conocidos por los que trabajamos en este ámbito, pero no para todo el mundo, y son necesarios para entender el resto del trabajo. De la misma forma, establece los conceptos necesarios para entender Rusia y su ecosistema de inteligencia, donde agencias oficiales trabajan junto a empresas, ciudadanos e incluso grupos delincuenciales.

Con las bases establecidas, nos adentramos en el GRU, el más opaco de los servicios rusos (antes, soviéticos), analizando su organización, estructura, mentalidad… y, en especial, sus capacidades de inteligencia de señales y operaciones de información, las disciplinas más directamente relacionadas con lo que hoy conocemos como operaciones en el ciberespacio. Y, obviamente, es este ciberespacio el que concentra la mayor parte del contenido del libro: las unidades militares más relevantes, los principales grupos APT, las relaciones del GRU con terceros actores, sus tácticas y técnicas, su arsenal e infraestructura y sus capacidades y operaciones principales.

A continuación, para concluir el libro, se detalla el camino entre la inteligencia y la detección de una amenaza, en el que se incluye la atribución, y que trata de explicar cómo a partir de unos indicadores, generalmente de bajo nivel, es posible pivotar hasta un conocimiento más amplio del actor hostil, sus objetivos, sus tácticas y técnicas y sus herramientas. El trabajo se cierra con las principales conclusiones y algunas opiniones propias. Se incluyen también unos apéndices, siendo el principal el dedicado al GRU en España: qué hace, o intenta hacer, y por qué.

Antes de finalizar, quiero dar las gracias públicamente al teniente general retirado Rafael COMAS, por su amabilidad al escribir el prólogo para este trabajo. Además de que Rafa es un experto en muchos de los temas abordados en este libro, sé que, tratando algunos temas espinosos, este tipo de contenidos en ocasiones son difíciles de prologar, por lo que el agradecimiento es aún mayor.

Espero que este trabajo ayude a conocer un poco mejor las actividades en el ciberespacio de uno de los mejores y más opacos servicios de inteligencia del mundo. En breve avisaremos de su publicación. De momento, os dejo por aquí la tabla de contenidos.

Algunas reflexiones sobre Laundry Bear

Ayer, la inteligencia holandesa (AIVD and MIVD) y Microsoft publicaron dos informes destallando a un actor hostil ruso, potencialmente nuevo: Laundry Bear, o Void Blizzard. Este actor ha sido descubierto gracias a un compromiso reciente de la policía holandesa, pero sus actividades han estado también dirigidas a organizaciones occidentales desde, al menos, 2024, incluyendo fuerzas armadas, organizaciones gubernamentales y contratistas de defensa, entre otros. A pesar de que la inteligencia holandesa destaca que no se ha podido realizar la foto completa de este grupo y sus actividades, han publicado su informe para alertas a sus aliados (¡como debe ser!).

Laundry Bear no ejecuta operaciones de ataque, solamente de explotación. En otras palabras, ciber espionaje. Y ejecuta estas actividades de espionaje abusando de entornos de correo en la nube, en particular de servidores Microsoft Exchange, a través de cuentas comprometidas, sin elevar privilegios. Simplificando, Laundry Bear obtiene unas credenciales válidas, por ejemplo, del mercado negro, y las usa para robar correos electrónicos y algunos ficheros.

Los objetivos geográficos de Laundry Bear incluyen “Occidente”: la Unión Europea y la OTAN. Otras regiones en el punto de mira del actor son el lejano Oriente y Asia central, aunque parecen residuales. En los países de la Unión Europea y la OTAN, Laundry Bear se focaliza en sectores relevantes para los intereses rusos en Ucrania, en particular en el sector defensa: ministerios de Defensa, ministerios de Asuntos Exteriores, contratistas de defensa, etc. Laundry Bear está interesado en la producción militar y, según la inteligencia holandesa, parece tener cierto grado de conocimiento sobre la producción y suministro de productos militares y sus dependencias.

Más allá del ámbito militar, Laundry Bear también ha puesto en su punto de mira a organizaciones y negocios civiles, en particular del sector de la alta tecnología, que a su vez podrían estar relacionados con el ámbito gubernamental y el militar. El grupo también tiene como objetivos infraestructuras críticas, organizaciones no gubernamentales, partidos políticos, medios de comunicación y entornos sanitarios o educativos, entre otros, siempre con objetivos de espionaje.

Las operaciones de Laundry Bear son ágiles, muy probablemente gracias a cierto grado de automatización, organizado eficientemente y con un gran número de compromisos exitosos. Como cualquier actor hostil, para ejecutar estas operaciones Laundry Bear desarrolla un conjunto de tácticas y técnicas. Las técnicas asociadas son simples. Laundry Bear no usa malware personalizado, y por supuesto tampoco explota vulnerabilidades de día cero. El actor usa técnicas Living-off-the-Land, incluyendo password spraying (aprovechando credenciales robadas que han sido publicadas tras fugas de datos). Una vez que ha obtenido acceso, Laundry Bear descarga información sin elevar privilegios, incluyendo la Global Address List (GAL) de Microsoft Exchange. La GAL permite al actor moverse lateralmente obteniendo acceso a otras cuentas del servidor, de nuevo a través de password spraying. Adicionalmente al robo de correos electrónicos, Laundry bear puede explotar vulnerabilidades conocidas de servidores Sharepoint para robar información.

La inteligencia holandesa afirma que los vectores de ataque utilizados por Laundry Bear, con técnicas no especialmente complejas, dificultan la atribución. Han identificado ciertas similitudes entre las operaciones de Laundry Bear y el modus operandi de APT28. Sin embargo, concluyen que Laundry Bear y APT28 son dos actores diferentes. Por su parte, Microsoft relaciona los objetivos de Laundry Bear con los de APT28 y con los de Sandworm Team.

A partir de la información publicada por la inteligencia holandesa y por Microsoft, y estando de acuerdo en que las técnicas simples usadas por Laundry Bear dificultan su atribución, podemos afirmar que:

  • Casi con total certeza, Laundry Bear es un actor hostil ligado al gobierno ruso. Los sectores y países objetivo están alineados con los intereses rusos, de nuevo con un foco en Ucrania. Además, el encontrar ONG entre los objetivos del grupo es compatible con actores hostiles estratégicamente motivados, particularmente con actores estado.
  • Probablemente, Laundry Bear está asociado al GRU ruso. Su interés especial en el ámbito militar, y su conocimiento acerca de este mercado, incrementan la probabilidad de que este actor esté ligado a la inteligencia militar. Sin embargo, otros actores rusos no ligados al GRU también tienen entre sus objetivos al ámbito militar, como Turla o Gamaredon (FSB) o APT29 (SVR).
  • La probabilidad de que Laundry Bear sea un nuevo actor hostil es media. Las técnicas simples usadas por Laundry Bear son comúnmente usadas por otros actores, incluyendo avanzados. A partir de la información publicada, no se puede afirmar con un grado de certeza elevado que nos estemos enfrentando a un nuevo actor hostil.

En resumen, Laundry Bear (o Void Blizzard) es un actor hostil ruso, probablemente ligado al GRU, pero no está claro si es un nuevo grupo o está asociado a las unidades “ciber” de la inteligencia rusa (en particular, a las unidades 26165, 74455 o 29155 del GRU). Estamos seguros de que pronto la inteligencia holandesa, o Microsoft, publicarán nueva inteligencia sobre este actor hostil.

GRU: unidad militar 54777

Las principales unidades del GRU ruso activas en operaciones en el ciberespacio han sido tratadas en este blog: desde nuestros antiguos posts (¡de 2018!) sobre la unidad 26165 y la unidad 74455 hasta la reciente aparición (en el ciberespacio) de la unidad 29155. Todas estas unidades tienen algo en común, aparte de su capacidad para operar en el ciberespacio: todas tienen un nombre de grupo APT. La unidad 26165 se identifica con APT28, mientras que la unidad 74455 es conocida como Sandworm Team y la unidad 29155 como Ember Bear (nótese el caos en la nomenclatura de grupos APT al que ya hemos hecho referencia en este blog). Sin embargo, no todas las unidades del GRU que operan en el ciberespacio tienen el honor de tener un grupo APT asignado. En este post hablamos de la unidad 54777, una unidad militar del GRU involucrada en operaciones psicológicas (PSYOP), también a través del ciberespacio pero que, por ahora, no tiene un nombre de grupo APT asociado.

La Unión Soviética, y ahora Rusia, tiene una larga trayectoria en el ámbito de la desinformación y la guerra psicológica. De hecho, el objetivo de la “confrontación de información” es influenciar la percepción y el comportamiento del enemigo, de la población y de la comunidad internacional. La guerra psicológica se ha utilizado desde los orígenes de la inteligencia soviética, por parte del fundador de la Cheka, Felix DZERZHINSKI, hasta el conflicto actual con Ucrania. Para destacar la importancia de la guerra psicológica en la Rusia moderna, sólo un detalle: Aleksandr Gennadyevich STARUNSKY, antiguo responsable de la unidad militar 54777 de la que vamos a hablar aquí, fue ascendido por el propio Vladimir PUTIN al comité científico, bajo el Consejo de Seguridad de la Federación Rusa.

El GRU soviético, y el Ejército Rojo en su conjunto, consideraban la propaganda especial como parte de sus medidas activas. A pesar de que esta propaganda iba supuestamente dirigida a influenciar a las tropas enemigas, el régimen soviético la utilizó para subir la moral a sus propias tropas. Cuando la Unión Soviética se desmoronó, la Dirección de Propaganda Especial, responsable de las operaciones psicológicas militares, fue transferida al GRU, y unos años después, en 1994, se estableció como la unidad militar 54777. Esta transferencia no fue un asunto puramente burocrático: hizo las operaciones psicológicas rusas más agresivas de lo que eran en la época soviética. Mientras que en tiempos soviéticos las unidades de propaganda especial operaban exclusivamente durante las campañas militares, al menos teóricamente, con la transferencia al GRU estas operaciones comenzaron a ejecutarse tanto en tiempos de guerra como en tiempos de paz.

La unidad militar 54777 (VCh 54777, 72nd Special Service Center, 72nd Main Intelligence Information Center -GRITs- o Foreign Information and Communications Service), es todavía la responsable de las operaciones psicológicas del GRU. En la página web de Agentura, y en los conocidos como Aquarium Leaks, podemos encontrar una descripción detallada de esta unidad, junto a los históricos esfuerzos soviéticos, y actuales rusos, en el ámbito de la propaganda y la guerra psicológica.

Entre sus operaciones más destacadas, la unidad 54777 ha estado involucrada en campañas de desinformación acerca de la anexión rusa de Crimea en 2014, de la guerra civil en Siria y del conflicto en Ucrania. En tiempos de paz, esta unidad ha estado involucrada en operaciones contra elecciones en Europa y Estados Unidos, así como en campañas de desinformación acerca de la pandemia de COVID-19.

Además de PSYOP “tradicional”, la unidad 54777 incluye tanto capacidades SIGINT como capacidades en el ciberespacio. En el ámbito de la inteligencia de señales, esta unidad obtiene y analiza comunicaciones para generar inteligencia que pueda ser posteriormente utilizada en campañas de desinformación e influencia. En el ciberespacio, la unidad 54777 trabaja complementando las operaciones en el ciberespacio no sólo con PSYOP digitales: sus actividades incluyen operaciones de apoyo a unidades “ciber” del GRU, creación y diseminación de versiones falsas de sus propias operaciones en el ciberespacio, así como guerra electrónica y operaciones psicológicas en el nivel táctico.

La unidad 54777 lleva a cabo la mayor parte de sus operaciones en el ciberespacio a través de redes sociales, una actividad que comenzó con la revolución del Maidan. Además de redes sociales, esta unidad disemina desinformación y manipula a la opinión pública a través de plataformas digitales y foros públicos. Utiliza diferentes organizaciones pantalla, incluyendo InfoRos y el Instituto de la Diáspora Rusa, fundados por Aleksandr Gennadyevich STARUNSKY (a quien ya hemos hecho referencia). Estas organizaciones son “agencias de información” focalizadas en la vida política, económica y social de la Federación Rusa y otras ex Repúblicas Soviéticas, generando contenido tanto en ruso como en inglés.

Probablemente, la unidad 54777 está localizada en la 12ª Dirección del GRU, focalizada en operaciones de información. Supuestamente esta unidad está dirigida por la unidad 55111, que trataremos en otro post. De hecho, Aleksandr Gennadyevich STARUNSKY, antiguo mando de la unidad 54777, era el comandante adjunto de la unidad 55111 cuando fue ascendido al comité científico del Consejo de Seguridad. Según fuentes abiertas, la unidad 54777 tiene, o ha tenido, diferentes unidades encargadas de las operaciones psicológicas en cada distrito militar ruso, además del de Moscú:

  • Distrito militar de Leningrado: unidad militar 03126, localizada en la region de Leningrado.
  • Distrito militar central: unidad militar 03138, localizada en Yekaterinburgo.
  • Distrito militar sur: unidad militar 03128, localizada en Rostov del Don.
  • Distrito militar este: unidad militar 03134, localizada en Jabárovsk.

Una característica de todas estas unidades es su emblema: una combinación del símbolo internacional de la psicología, Ψ (“Psi”), y un clavel rojo, símbolo heráldico de la inteligencia militar rusa, tal y como muestra la imagen (de la web de Agentura):

GRU: unidad militar 29155

Históricamente, la unidad militar 29155 del GRU ruso (VCh 29155, 161st Specialist Training Center) ha estado involucrada en medidas activas como subversión, asesinatos o sabotaje. Recordemos que las medidas activas soviéticas o rusas hacen referencia a operaciones encubiertas con el objetivo de influenciar la política o la opinión pública de terceros países. Estas medidas incluyen desde actividades en el ciberespacio hasta “wet stuff” (una mala traducción sería “cosas que manchan las manos”: asesinatos, chantajes, sabotajes…). Entre otras operaciones famosas de esta unidad destacan el sabotaje de un depósito de armas en República Checa (2014), un golpe de estado en Montenegro (2016) o el intento de envenenamiento de los Skripal en Salisbury (2018).

A pesar de que la unidad 29155 era conocida por los analistas, su existencia saltó a medios generalistas cuando se acusó a esta unidad de ser la causante del “Síndrome de la Habana”. Este síndrome se identificó entre diplomáticos y personal de inteligencia estadounidense y canadiense destinado en Cuba, en 2016, y sus síntomas se replicaron en otras partes del mundo. Estos síntomas incluyen problemas visuales, vértigo o dificultades cognitivas que se manifiestan, según los afectados, tras haber escuchado sonidos extraños. Desde que se descubrió el síndrome de La Habana, su origen ha sido controvertido. Diferentes estudios lo han asociado a actividades de la inteligencia rusa relacionadas con armamento de nueva generación, desde armas acústicas a energía dirigida.

[Read more…]

Feliz Navidad

Desde Security Art Work queremos desearos unas felices fiestas y lo mejor para este 2024 que está a punto de comenzar. Y en estos tiempos de postales generadas por inteligencia artificial, jerseys tipificados en el Código Penal y comida y bebida por encima de nuestras posibilidades, os enviamos nuestra felicitación navideña. Gracias a las herramientas de los dioses, sencilla y ligera, para que no se os llene el disco duro, ni el de vuestro ordenador ni el del ordenador de otras personas.

begin 644 saw23.awk
M0D5'24X@>PIS<F%N9"@I.PIR97-E=#TB7#`S,ULP;2(["F@],C`[<SUH+3$[
M;#TQ.PIF;W(@*&H@/2`Q.R!J(#P]<SL@:BLK*2!P<FEN=&8H(B`B*3L*<')I
M;G1F*")<,#,S6S$[.31M(BD[(`IP<FEN=&8H(D!<;B(I.PIF;W(@*&D],3MI
M/#UH.VDK*RD@>PH)9F]R*&H],3MJ/#US.VHK*RD@<')I;G1F*"(@(BD["B`@
M("`@("`@<RTM.PH@("`@("`@(&9O<BAJ/3$[:CP];#MJ*RLI('L*("`@("`@
M("`)<')I;G1F*")<,#,S6S$[.3)M(BD["@D)83UI;G0H,3`J<F%N9"@I*3L*
M"0EI9BAA(3TS*7!R:6YT9BAA*3L*"0EE;'-E>PH)"0EP<FEN=&8H(EPP,S-;
M-3LS-&TB*3L@"@D)"7!R:6YT9B@B*B(I.PH)"0EP<FEN=&8H<F5S970I.PH)
M"7T*("`@("`@("!]"B`@("`@("`@;"L],CL*("`@("`@("!P<FEN=&8H<F5S
M970I.PH@("`@("`@('!R:6YT9B@B7&XB*3L*"7T*='<]:"\R.PIT:#UH+S0[
M"G1S/6@M='<O,CL*9F]R("AI/3$[:3P]=&@[:2LK*2!["@EF;W(H:CTQ.VH\
M/71S.VHK*RD@<')I;G1F*"(@(BD["B`@("`@("`@<')I;G1F*")<,#,S6S$[
M,S%M(BD["B`@("`@("`)9F]R("AJ/3$[:CP]='<[:BLK*2!P<FEN=&8H:6YT
M*#$P*G)A;F0H*2DI.PH@("`@("`@('!R:6YT9BAR97-E="D["B`@("`@("`)
M<')I;G1F*")<;B(I.PI]"G!R:6YT9B@B7#`S,ULQ.SDT;2(I.PIP<FEN=&8H
M(D1E<V1E(%-E8W5R:71Y($%R="!7;W)K(&]S(&1E<V5A;6]S($9E;&EZ($YA
M=FED860@>2!P<L.S<W!E<F\@,C`R-%QN(BD["G!R:6YT9BAR97-E="D["GT*
`
end

Por cierto, si sabes abrir el sobre y visualizar la felicitación sin ayuda de Google (o de ChatGPT) eres población de riesgo. Feliz Navidad y cuidado con los excesos de estos días :)

Operaciones de proximidad en el ciberespacio

En el ámbito de las operaciones en el ciberespacio, la mayor parte de operaciones de ataque o explotación son remotas, es decir, se realizan a través de tecnologías que permiten al actor hostil no estar físicamente cerca de su objetivo: un acceso vía VPN, un correo electrónico o enlace dañino que instala un implante en la víctima, una vulnerabilidad remota explotada exitosamente, etc. Pero un pequeño porcentaje de operaciones requieren un acercamiento físico entre el actor hostil y su objetivo: son las operaciones de proximidad, llamadas también Sneaker Operations o CACO (Close Access Cyberspace Operations).

Crypto AG CX-52. Fuente: WikiPedia.

Cuando no todo estaba conectado a Internet, las operaciones de proximidad eran casi la única vía de acceso a los sistemas o la información del objetivo; para robar información había que colocar un micro o una cámara colándose por la noche en un edificio, modificando una cadena de suministro o situándose en un edificio enfrente de las instalaciones del objetivo, por poner unos ejemplos. Algunas de las acciones de adquisición de inteligencia de señales requerían esta proximidad, y esta proximidad evidentemente implicaba un riesgo significativo de ser neutralizado, con todas las implicaciones que esta neutralización puede tener. Algunos ejemplos muy conocidos de operaciones de proximidad para adquisición de inteligencia de señales implican (presuntamente) a la DGSE francesa implantando micros en los asientos business de los vuelos de Air France entre París y Nueva York, a los soviéticos (presuntamente) regalando un Gran Sello con un implante al embajador estadounidense en la URSS o a alemanes y estadounidenses (presuntamente) manipulando dispositivos de cifra de Crypto AG en la operación Rubicon.

[Read more…]