Intensa guerra cibernética se avecina mientras Rusia invade Ucrania

Los expertos han advertido a la comunidad internacional que la invasión de Ucrania por parte de Rusia podría ser seguida por una guerra cibernética masiva con Occidente. 

Después del DDoS y el ataque de malware de limpieza de ayer en los dispositivos y computadoras de Ucrania, los sistemas occidentales enfrentan la misma amenaza de Rusia para extraer información de inteligencia que las naciones de la OTAN: EE. UU., Reino Unido, Australia y más imponen sanciones a Rusia.

"Esperamos ver probablemente más allá de Ucrania, desinformación dirigida a audiencias occidentales y ciberesponsabilidad contra miembros clave de la OTAN, mientras Rusia trata de comprender los próximos movimientos en lo que respecta a sanciones u otros pasos que los gobiernos occidentales tomarán", dice Luke McNamara, ciberseguridad. Analista en Mandiant.

Estados Unidos impuso nuevas sanciones contra las instituciones bancarias y financieras de Rusia que operan en los mercados occidentales. La Casa Blanca también ha implementado medidas para “cortar más de la mitad de las importaciones de alta tecnología de Rusia. “

Estas nuevas sanciones a Rusia restringirán el acceso del país a la tecnología y afectarán sus “ambiciones estratégicas de ejercer influencia en el escenario mundial", dijo la Casa Blanca. Están pensando en imponer restricciones más amplias a sensores, semiconductores, chips, aviónica, seguridad de cifrado, navegación y otras tecnologías.

En el Reino Unido, el primer ministro Boris Johnson ha excluido a los principales bancos rusos de los sistemas financieros británicos.

Malware militar de Rusia

Las agencias de ciberseguridad de EE. UU. y el Reino Unido han advertido sobre un nuevo malware vinculado a Rusia llamado Cyclops Blink. El malware es capaz de infectar equipos de red y filtrar información, además de atacar otros dispositivos en la red. El nuevo malware reemplaza al malware de espionaje del Kremlin llamado VPNFilter, que podría detectar la presencia de equipos SCADA.

“Si bien no existen amenazas cibernéticas específicas y creíbles para los EE. UU., alentamos a todas las organizaciones, independientemente de su tamaño, a tomar medidas ahora para mejorar su seguridad cibernética y salvaguardar sus activos críticos”, dijo el DHS.

El CISA, el FBI, la NSA de EE. UU. y el NCSC del Reino Unido emitieron un aviso conjunto sobre una amenaza maliciosa conocida como MuddyWaters por actores de amenazas persistentes avanzadas (APT) patrocinados por el gobierno iraní. El aviso decía que MuddyWaters se dirige a una variedad de organizaciones y sectores gubernamentales en Europa, América del Norte, África y Asia.

“Hemos visto advertencias del gobierno sobre los bancos occidentales como objetivos, en represalia por las sanciones a los principales bancos rusos, pero en este punto, ciertamente no se puede descartar una gama más amplia de objetivos”, dijo Emily Kilcrease, directora de energía, economía y programa de seguridad en el Center for New American Security.

S&P Global, agencia de calificación crediticia, emite alerta por posibles ciberataques a infraestructuras e instituciones críticas.

“Los ataques cibernéticos se están convirtiendo en un medio más frecuente para lograr los objetivos de política exterior, debido a sus costos de implementación más bajos en relación con las tácticas militares convencionales y el alcance incierto de las represalias”, señala la alerta de S&P.

S&P citó el ejemplo del incidente de NotPetya en 2017 que afectó a Ucrania y resultó en una interrupción global de 7000 empresas en 65 países, con una pérdida económica total de alrededor de $ 10 mil millones. La investigación adicional del incidente reveló que seis oficiales de inteligencia rusos estaban detrás de la distribución de NotPetya.

Zahabia Gupta, analista de S&P, dijo que el impacto económico de un ataque como NotPetya “podría ser más grave ahora, dado el aumento de la interconexión y la digitalización”. En el reciente ataque a sitios web ucranianos, se utilizó un malware de limpieza que eliminó los datos.

Respuesta de Occidente

Ha habido informes de que al presidente Joe Biden se le han presentado opciones de ciberataque en represalia, pero la Casa Blanca ha negado los informes. Sin embargo, Kilcrease dijo que, desafortunadamente, "va a ser un ciclo de escalada".

McNamara dijo que Mandiant está vigilando de cerca las actividades de los grupos de ataques cibernéticos vinculados con Rusia, incluido Berserk Bear, también conocido como Temp.Isotope. La tripulación es conocida por infiltrarse en el sector energético crítico utilizando el protocolo SMB de Microsoft.

Según el análisis de ciberseguridad, a medida que aumentan las sanciones de las naciones occidentales, Occidente podría bloquear a Rusia del sistema bancario SWIFT y podría provocar ataques al sector financiero en respuesta a las sanciones.

“Desconectar a Rusia de SWIFT, sin duda sería un paso bastante importante… Históricamente, hemos visto lo que está dispuesto a hacer cuando tienes un adversario estatal que tiene la capacidad y está desconectado de SWIFT. Lo hemos visto en el caso de Corea del Norte”, dice McNamara.

Cualquiera que sea la respuesta de Rusia, las empresas de todo el mundo deberían reforzar su seguridad poniéndose en el lugar del adversario. McNamara dio un ejemplo del ataque al Oleoducto Colonial por parte de un grupo de ransomware ruso, Darkside, que resultó en el cierre de oleoductos debido a la escasez de gas.

Los atacantes pueden utilizar la misma técnica para crear caos público e interrupción. Uno debe predecir estos ataques y tomar medidas para prevenir y mitigar tales escenarios. “Incluso una especie de pánico y gente corriendo hacia la bomba de gasolina, eso es algo que creo que tienes que pensar en cómo el adversario podría abordar esto”, dijo McNamara.

Seguridad de red en medio de la escalada de la crisis de Ucrania

Teniendo en cuenta la situación actual en Ucrania, los clientes se han acercado a Akamai, un proveedor líder de seguridad en la nube, para obtener ayuda con la seguridad de su red. El enfoque principal está en la mitigación del tráfico malicioso y el geobloqueo para cumplir con las nuevas sanciones, dijo la compañía a The Register.

Akamai está ayudando a los clientes a bloquear el tráfico, especialmente a medida que los soldados rusos ocupan más regiones, después de Donetsk y Luhansk.

Cloudflare también hizo lo mismo y eliminó todo el "material criptográfico de los clientes de los servidores en Ucrania" como medida de precaución, para que las fuerzas hostiles no tengan acceso a claves secretas o datos confidenciales.

Los investigadores están cuestionando la posibilidad de ataques de denegación de servicio distribuidos y si funcionarán en objetivos en Occidente, como en Ucrania. McNamara dijo que en 2021 tales ataques tuvieron éxito cuando los piratas informáticos iraníes tomaron represalias contra las nuevas sanciones al país y provocaron interrupciones en los bancos e instituciones financieras.

Rusia podría usar ataques DDoS para apuntar a Occidente, pero la defensa contra tales ataques es mucho mejor ahora que en el pasado.

“Entonces [los ataques DDoS] pueden ser que la preferencia por los ataques perjudiciales o destructivos sea algo más parecido al malware de limpieza”, dice McNamara.

Kaspersky Lab, con sede en Moscú, no ha hecho ninguna declaración oficial sobre el efecto de las sanciones actuales sobre Rusia y la situación decorativa entre las naciones occidentales y Rusia. Mencionaron que sus equipos internacionales están monitoreando la situación y están listos para tomar medidas si es necesario.