Ciberguerra. El conflicto en Ucrania en el plano digital y el papel de la Ciberseguridad en estos escenarios

Fuente: https://www.lavanguardia.com/tecnologia/20220126/8013768/ucrania-rusia-peligro-ciberguerra-malware-nbs.html

El concepto de “guerra tecnológica” se ha posicionado como una de las grandes tendencias de la era digital. La tecnología y la hiperconectividad global han facilitado el traslado de los conflictos armados tradicionales a este nuevo escenario, sirviendo como apoyo ilimitado en el escalado de contiendas bélicas.

Así, el histórico enfrentamiento cuerpo a cuerpo evoluciona en ataques informáticos que buscan debilitar y desestabilizar un país o gobierno concreto, teniendo como principal objetivo aquellos sistemas, servicios e infraestructuras que resultan esenciales para la continuidad y operatividad de una zona geográfica entera.

La ciberguerra se convierte en un potente aliado para los conflictos internacionales y juegos geopolíticos entre gobiernos y Estados. Y esta realidad la sentimos más cerca que nunca con la situación de contienda que se dispersa en estos momentos por las calles de las ciudades estratégicamente más importantes de Ucrania.

Que la Ciberguerra es una constante entre Rusia y Ucrania no es algo nuevo, pues ambos países han optado desde hace años por utilizar estrategias de guerra cibernética con el objetivo de impactar en sus respectivos gobiernos y personalidades clave, pero el reciente escalado de la contienda en el propio terreno ucraniano ha supuesto no solo un aumento considerable de estas técnicas de ciberguerra, sino en la propia internacionalización de este conflicto en el espacio digital.

En cuestión de pocos días, varios ciberataques han paralizado tanto sistemas informáticos de instituciones y organizaciones de alta importancia en Kiev, como páginas webs del propio gobierno y entidades bancarias. A todo esto se suma la revuelta que ha creado la intervención del grupo hacktivista Anonymous, declarando en sus propias redes sociales la guerra cibernética a Vladimir Putin. Así, el propio grupo ha compartido la consecución con éxito de varios ciberataques perpetrados contra el Kremlin, como el ataque a la televisión estatal o el hackeo de la base de datos web del Ministerio de Defensa ruso.

¿Cómo impacta esta guerra online en un conflicto con un escalado tan notable en la comunidad internacional? Esta internacionalización supone un enorme reto en materia de Ciberseguridad, con la aparición de especialistas en Ciberdefensa en diferentes puntos del mundo dedicados por completo a esta contienda cibernética y con una creciente necesidad de acudir a expertos en Ciberseguridad y Ciberguerra.

Sin ir más lejos, tanto la UE como la OTAN han auxiliado al gobierno ucraniano con equipos de apoyo especializados en Ciberseguridad y Ciberdefensa.

Si la Ciberseguridad para Estados y gobiernos ya era crucial, en un conflicto armado con una alta incidencia y aplicación de técnicas cibernéticas resulta altamente necesaria. Tantos actores clave conectados y dependiendo de Internet supone una creciente amenaza para los activos digitales de todo el planeta. Lo que ocurre en Ucrania puede afectar no solo a Europa, sino también a Estados Unidos y las potencias americanas o asiáticas.

Extremar la precaución en el ciberespacio siempre es necesario, pero ante la situación actual que presenta este conflicto, esto debe ir más allá. Aquí, la Ciberseguridad jugará un papel clave. Se debe crear conciencia en la necesidad de aplicar medidas técnicas y organizativas, pues la aparición de nuevas amenazas es constante. Por ejemplo, grandes firmas de Ciberseguridad han alertado de la aparición de nuevos y potentes malwares en sistemas informáticos ucranianos, que fácilmente pueden ser explotados por otros grupos para atacar tanto instituciones internacionales como al sector privado en cualquier parte del mundo.

Un antivirus y un sistema operativo actualizado ya no son suficientes, es de vital importancia contar con perfiles expertos y herramientas enfocadas en Ciberinteligencia, Ciberdefensa y Seguridad Informática. Además, la concienciación será siempre una herramienta fundamental que tendrá un gran efecto en la prevención de los ataques informáticos, pues el factor humano siempre supondrá una vulnerabilidad muy jugosa para los señores de la guerra cibernética.

Explotando datos de APT for fun and (no) profit (IV): conclusiones

Entradas de la serie “Explotando datos de APT for fun and (no) profit”:
=> I: adquisición y procesamiento
=> II: análisis simple
=> III: análisis no tan simple
=> IV: conclusiones

Hemos obtenido algunos datos para soltar frases en las charlas de APT (por favor, no olvidéis usarlos junto a las frases de “El Arte de la Guerra”, de Sun Tzu, que nunca pasa de moda, y comentar lo del eslabón más débil de la cadena y demás :). Con algo de tiempo, podemos obtener conclusiones más o menos interesantes, o más o menos estúpidas, en relación a las actividades, intereses, orígenes… de los grupos APT. Y explotando otros datasets (¿vamos a por MITRE ATT&CK?) podemos ampliar o complementar estas conclusiones.

Algunos de los datos que podemos concluir después de este pequeño análisis:

  • Parece claro que Rusia juega en la Liga de Campeones de las APT; es el país líder en todo tipo de actividades hostiles, desde el sabotaje hasta el espionaje o la delincuencia económica.
  • El líder de todos los grupos APT es también ruso: Turla, operando desde hace casi un cuarto de siglo (y en este caso sí que podemos confirmar que sigue vivo) y con un abanico de objetivos impresionante.
  • El grupo al que los analistas prestan más atención es también ruso: APT28, el más investigado y, casi por este motivo, el que más nombres diferentes tiene.
  • El número de actores con capacidades CNA se está incrementando en los últimos años, de nuevo con Rusia a la cabeza.
  • Aparte de los actores habituales, dos países han estado particularmente activos durante los últimos años: Irán y Corea del Norte.
  • Sería interesante identificar un nuevo parámetro para cada actor, similar a “visto por última vez”, que nos permita saber cuánto tiempo un grupo ha estado activo, o si lo está en estos momentos.
  • Usar diferentes nombres, en función de quién lo llama, para el mismo grupo es un caos a la hora de procesar datos; en este sentido, el esfuerzo de MISP para identificar un UUID por grupo es de agradecer (https://github.com/MISP/misp-galaxy/blob/main/clusters/threat-actor.json#L2434),  como bien nos ha indicado @adulau en Twitter.
  • Con algo de imaginación y gnuplot puedes tener tu propio Magic Quadrant de APT :)
  • Importante: esto es un simple post, no un artículo científico. No esperes verdades absolutas, no discutibles y que sienten cátedra aquí.
  • Y la última conclusión: AWK es nuestro amigo. Recordad:

Explotando datos de APT for fun and (no) profit (III): análisis (no tan) simple

Entradas de la serie “Explotando datos de APT for fun and (no) profit”:
=> I: adquisición y procesamiento
=> II: análisis simple
=> III: análisis no tan simple
=> IV: conclusiones

Una vez que hemos respondido a algunas preguntas tontas o simplemente sencillas, es el momento de plantearnos algunas más complejas, así que empecemos…

¿Los actores con capacidades CNA están incrementando sus actividades en los últimos años?

En las preguntas simples hemos identificado que el sabotaje o la destrucción no son las motivaciones más habituales en los actores de la amenaza. Pero estamos interesados en ellos, por lo que veamos sus actividades en el tiempo:

for i in `grep "Sabotage and destruction" [0-9]*.txt|awk -F: '{print $1}'`; do grep \"meta\",\"date\"\] $i|awk '{print $2}'|sed 's/\"//g';done|awk '{a[$0]++}END{for(k in a){print k,a[k]}}’ >years.cna

Dibujando los resultados, tenemos:

gnuplot> set boxwidth 0.5
gnuplot> set xtics 1
gnuplot> set ytics 1
gnuplot> set yrange [0:5]
gnuplot> plot 'years.cna' with boxes

Desde 2012, el número de actores con capacidades CNA -o al menos su salto a la fama- se ha incrementado de forma considerable: de 14 grupos totales, 9 han arrancado sus actividades en los últimos ocho años, por lo que podríamos decir que es una tendencia al alza. Por curiosidad, el actor más antiguo con capacidades CNA empezó en 2001. ¿Adivinamos su nombre? Efectivamente, Equation Group… 

[Read more…]

Explotando datos de APT for fun and (no) profit (II): análisis simple

Entradas de la serie “Explotando datos de APT for fun and (no) profit”:
=> I: adquisición y procesamiento
=> II: análisis simple
=> III: análisis no tan simple
=> IV: conclusiones

Con la información ya procesada y lista podemos empezar el análisis por la parte mas sencilla: las preguntas tontas y las preguntas simples que en muchas ocasiones nos planteamos. Allá vamos.

¿Cuáles son los grupos con más sinónimos?

La pregunta más tonta que siempre me he planteado es por qué usamos tantos nombres diferentes para el mismo actor. ¿Quién tiene el privilegio de ser el grupo con más nombres? Veamos:


$ for i in [0-9]*.txt; do c=`grep synonyms\", $i|grep -vi operation|wc -l `; echo $c $i;done |sort -n|tail -1
18 233.txt
$

El resultado es “233.txt”, que corresponde a APT 28, con 18 sinónimos; el segundo clasificado, con 16 nombres diferentes, es Turla. Casualmente, ambos de Rusia (veremos luego algunas curiosidades de Rusia).

Aparte de esto, una opinión personal: ¡18 nombres para el mismo grupo! Definitivamente, y una vez más, necesitamos un estándar para los nombres de actores hostiles. Esta puede ser tu primera frase cuando des una charla de APT: donde está un comité ISO cuando se le necesita?

¿Qué grupos son de mi país?

Aparte de los actores que todos tenemos en mente (Rusia, China…), ¿tenemos grupos españoles? ¿Tenemos grupos de otros países relevantes? El código ISO 3166-1 para España es ES, por lo que podemos buscar actores españoles -y de otros países- con una orden simple:

[Read more…]

Explotando datos de APT for fun and (no) profit (I): adquisición y procesamiento

Entradas de la serie “Explotando datos de APT for fun and (no) profit”:
=> I: adquisición y procesamiento
=> II: análisis simple
=> III: análisis no tan simple
=> IV: conclusiones

Cuando asistimos a charlas relacionadas con APT -o las damos-, a veces oímos frases como “la mayor parte de los actores se focalizan en robo de información” o “Rusia es uno de los actores más activos en el panorama”. Pero, ¿de dónde vienen estas frases? Hemos pasado una noche entera explotando datos relativos a APT por diversión (y for (no) profit) para proporcionar curiosidades, hechos, datos… que puedes usar desde ya mismo en tus charlas! :)

Desde 2019 el equipo de ThaiCERT publica en PDF “Threat Group Cards: A Threat Actor Encyclopedia” y proporcionan un portal de acceso libre (https://apt.thaicert.or.th/cgi-bin/aptgroups.cgi) con toda la información relativa a estos grupos, obtenida de fuentes abiertas. En este portal, además de navegar por los diferentes grupos y sus herramientas, se presentan estadísticas acerca de sus actividades (países origen, objetivos, herramientas más usadas…), y la mayor parte de estos grupos son considerados APT (en estos momentos, 250 de 329, con la versión de base de datos actualizada a fecha 20 de octubre de 2020). Pero, ¿y si necesitamos estadísticas o correlaciones específicas que no están en la página web?

[Read more…]