Ataques de ransomware en Ucrania en 2017

Una serie de potentes ciberataques que utilizaron el malware Petya comenzaron el 27 de junio de 2017 y saturaron los sitios web de organizaciones ucranianas , incluyendo bancos, ministerios, periódicos y empresas eléctricas. ^{[ 10 ]} Se reportaron infecciones similares en Francia , Alemania , Italia , Polonia , Rusia , Reino Unido , Estados Unidos y Australia . ^{[ 3 ] [ 11 ] [ 12 ]} ESET estimó el 28 de junio de 2017 que el 80% de todas las infecciones se encontraban en Ucrania, siendo Alemania el segundo país más afectado con aproximadamente un 9%. ^{[ 2 ]} El 28 de junio de 2017, el gobierno ucraniano declaró que el ataque había sido detenido. ^{[ 13 ]} El 30 de junio de 2017, Associated Press informó que los expertos coincidían en que Petya se hacía pasar por ransomware , cuando en realidad estaba diseñado para causar el máximo daño, siendo Ucrania el principal objetivo. ^{[ 14 ]}

Los expertos en seguridad creen que el ataque NotPetya se originó a partir de una actualización de MEDoc, un paquete de contabilidad fiscal ucraniano desarrollado por Intellect Service. ^{[ 2 ]} MEDoc era ampliamente utilizado por contadores fiscales y empresas en Ucrania, ^{[ 15 ]} y Mikko Hyppönen , un experto en seguridad de F-Secure , lo describió como un software de contabilidad principal para muchas empresas ucranianas. ^{[ 2 ]} Se estima que MEDoc tenía alrededor de 400 000 clientes en toda Ucrania, cubriendo aproximadamente el 90 % de las empresas nacionales. ^{[ 8 ]}

MEDoc proporciona actualizaciones periódicas a su programa a través de un servidor de actualizaciones. El 27 de junio de 2017, se distribuyó una actualización de software a través del servidor de actualizaciones de MEDoc, tras lo cual comenzaron a aparecer informes del ataque de ransomware NotPetya. El investigador británico de ciberseguridad Marcus Hutchins declaró: «Parece que el sistema de actualización automática del software fue comprometido y utilizado para descargar y ejecutar malware en lugar de actualizaciones para el software». ^{[ 2 ]} La empresa que desarrolla MEDoc negó cualquier participación intencional en el ataque de ransomware, afirmando que sus propios sistemas también se vieron afectados y que estaba cooperando con las autoridades para investigar el incidente. ^{[ 15 ] [ 16 ]} Un incidente similar ocurrió el 18 de mayo de 2017, cuando el ransomware XData se propagó a través de una actualización de MEDoc. Cientos de departamentos de contabilidad se vieron afectados en Ucrania. ^{[ 17 ]}

El ciberataque involucró un malware similar al ransomware Petya , pero posteriormente se descubrió que funcionaba como un programa de borrado de datos en lugar de un ransomware tradicional. Al igual que el ataque de ransomware WannaCry en mayo de 2017, NotPetya utilizó la vulnerabilidad EternalBlue , que se dirigía a versiones antiguas del sistema operativo Microsoft Windows . Al ejecutarse, NotPetya cifraba el registro de arranque maestro (MBR), impidiendo que el sistema operativo se cargara. Luego mostraba un mensaje exigiendo 300 USD en Bitcoin , pero los investigadores descubrieron que la recuperación de datos era imposible. El software también se propagaba dentro de las redes explotando el protocolo Server Message Block (SMB) en Windows. Además, NotPetya incorporaba Mimikatz , una herramienta de prueba de concepto creada en 2011 para demostrar cómo Windows almacenaba las contraseñas en la memoria. Los atacantes la utilizaron para extraer credenciales, escalar privilegios y moverse lateralmente a través de sistemas en red. ^{[ 18 ]}

La vulnerabilidad EternalBlue se había identificado antes del ataque WannaCry, y Microsoft publicó parches en marzo de 2017 para solucionarla en Windows Vista , Windows 7 , Windows 8.1 , Windows Server 2008 , Windows Server 2012 y Windows Server 2016. Windows 10 no se vio afectado. ^{[ 19 ]} Sin embargo, WannaCry se propagó a través de sistemas que ejecutaban versiones antiguas de Windows sin soporte o que no habían aplicado los parches de seguridad disponibles. En respuesta al ataque, Microsoft publicó nuevos parches para Windows XP , Windows Server 2003 y Windows 8 un día después del ataque WannaCry. ^{[ 19 ]} La experta en seguridad Lesley Carhart afirmó: «Cada método de explotación que utilizó el ataque para propagarse era prevenible mediante medios bien documentados». ^{[ 20 ]}

Expertos en seguridad determinaron que la variante de Petya utilizada en los ciberataques de Ucrania de 2017 había sido modificada y posteriormente denominada NotPetya o Nyetna para distinguirla del ransomware original. NotPetya cifraba archivos completos, no solo la Tabla Maestra de Archivos (MFT), y en algunos casos, funcionaba como un borrador, destruyendo permanentemente o alterando irreversiblemente los datos sin un método conocido de recuperación. ^{[ 21 ] [ 22 ] [ 23 ]} Algunos expertos en seguridad observaron que el software podía interceptar contraseñas y realizar acciones de nivel de administrador que podían dañar aún más los archivos de la computadora. También observaron que el software podía identificar sistemas informáticos específicos y eludir la infección de esos sistemas, lo que sugiere que el ataque era más quirúrgico en su objetivo. ^{[ 20 ]} A diferencia del software WannaCry, nunca se encontró un " interruptor de apagado " en NotPetya, que podría haberse utilizado para detener inmediatamente su propagación. ^{[ 24 ]} Según Nicholas Weaver de la Universidad de California, los piratas informáticos habían comprometido previamente MEDoc, "lo convirtieron en un troyano de control remoto y luego estuvieron dispuestos a quemar este activo para lanzar este ataque". ^{[ 8 ]}

Durante el ataque, el sistema de monitoreo de radiación de la central nuclear de Chernóbil en Ucrania quedó fuera de servicio. ^{[ 25 ]} Varios ministerios, bancos, sistemas de metro y empresas estatales ucranianos ( Aeropuerto Internacional de Boryspil , Ukrtelecom , Ukrposhta , Caja Estatal de Ahorros de Ucrania , Ferrocarriles Ucranianos ) se vieron afectados. ^{[ 26 ]} En las computadoras infectadas, se sobrescribieron archivos importantes y, por lo tanto, se dañaron permanentemente, a pesar del mensaje que el malware mostraba al usuario indicando que todos los archivos podían recuperarse "de forma segura y sencilla" cumpliendo con las demandas de los atacantes y realizando el pago solicitado en Bitcoin . ^{[ 27 ]}

Se ha considerado que el ataque probablemente tenía como objetivo paralizar al Estado ucraniano más que por motivos económicos. ^{[ 15 ]} El ataque se produjo en vísperas del día festivo ucraniano , el Día de la Constitución (que celebra el aniversario de la aprobación por la Verkhovna Rada (parlamento de Ucrania) de la Constitución de Ucrania el 28 de junio de 1996). ^{[ 28 ] [ 29 ] [ 30 ]} La mayoría de las oficinas gubernamentales estarían vacías, lo que permitiría que el ciberataque se propagara sin interferencias. ^{[ 15 ]} Además, algunos expertos en seguridad observaron que el ransomware borraba los discos duros afectados en lugar de cifrarlos, lo que supondría un desastre adicional para las empresas afectadas. ^{[ 15 ]}

Poco antes de que comenzara el ciberataque, se informó que un alto oficial de inteligencia y jefe de una unidad de fuerzas especiales de la Dirección General de Inteligencia de Ucrania , el coronel Maksym Shapoval , fue asesinado en Kiev mediante un coche bomba. ^{[ 31 ]} La exasesora gubernamental en Georgia y Moldavia , Molly K. McKew, creía que este asesinato estaba relacionado con el ciberataque. ^{[ 32 ]}

El 28 de junio de 2017, el gobierno ucraniano declaró que el ataque había sido detenido: "La situación está bajo el control total de los especialistas en ciberseguridad; ahora están trabajando para restaurar los datos perdidos". ^{[ 13 ]}

Tras el ataque inicial del 27 de junio, expertos en seguridad descubrieron que el código que había infectado la actualización de MEDoc tenía una puerta trasera que potencialmente podría usarse para lanzar otro ciberataque. Al detectar indicios de otro ciberataque, la policía ucraniana allanó las oficinas de MEDoc el 4 de julio de 2017 y confiscó los servidores. El director ejecutivo de MEDoc declaró que no tenían conocimiento de que se hubiera instalado una puerta trasera en sus servidores, refutó nuevamente su participación en el ataque y afirmó que estaban trabajando para ayudar a las autoridades a identificar el origen. ^{[ 33 ] [ 34 ]} La empresa de seguridad ESET descubrió que la puerta trasera se había instalado en el servicio de actualización de MEDoc ya el 15 de mayo de 2017, mientras que expertos del grupo Talos de Cisco Systems encontraron evidencia de la puerta trasera ya en abril de 2017; cualquiera de las dos situaciones apunta a que el ciberataque fue una "operación meticulosamente planificada y bien ejecutada". ^{[ 35 ]} Funcionarios ucranianos han declarado que Intellect Service "enfrentará responsabilidad penal", ya que empresas antivirus les habían advertido previamente sobre la seguridad deficiente de sus servidores antes de estos eventos, pero no tomaron medidas para evitarlo. ^{[ 36 ]} Talos advirtió que, debido al gran tamaño de la actualización MEDoc que contenía el malware NotPetya (1,5 gigabytes), podría haber otras puertas traseras que aún no han descubierto, y otro ataque podría ser posible. ^{[ 35 ]}

El 30 de junio, el Servicio de Seguridad de Ucrania (SBU) informó que había incautado equipos presuntamente utilizados para lanzar el ciberataque, afirmando que pertenecían a agentes rusos responsables del ataque. ^{[ 37 ]} El 1 de julio de 2017, el SBU declaró que los datos disponibles indicaban que los autores de los ataques de diciembre de 2016 contra el sistema financiero, el transporte y la infraestructura energética de Ucrania, que utilizaron TeleBots y BlackEnergy , ^{[ 38 ]} eran los mismos grupos responsables del ataque del 27 de junio de 2017. "Esto atestigua la participación de los servicios especiales de la Federación Rusa en este ataque", concluyó. ^{[ 7 ] [ 39 ]} Un ciberataque en diciembre de 2016 contra un sistema energético estatal ucraniano causó un apagón en el norte de Kiev. ^{[ 7 ]} Las relaciones entre Rusia y Ucrania han permanecido tensas desde la anexión rusa de Crimea en 2014 y el posterior conflicto en el este de Ucrania , que había provocado más de 10 000 muertes a finales de junio de 2017. ^{[ 7 ]} Rusia ha negado haber enviado tropas o equipo militar al este de Ucrania . ^{[ 7 ]} Ucrania ha descrito los ciberataques contra sus instituciones estatales como parte de una " guerra híbrida " librada por Rusia. ^{[ 7 ]}

El 30 de junio de 2017, la empresa de ciberseguridad ESET atribuyó el ataque al grupo TeleBots, que, según afirmó, tenía vínculos con BlackEnergy . «Antes del brote, el grupo Telebots se dirigía principalmente al sector financiero. El último brote iba dirigido contra empresas ucranianas, pero subestimaron la capacidad de propagación de su malware, por eso se descontroló». ^{[ 7 ]} ESET había informado previamente de que BlackEnergy había estado atacando la infraestructura cibernética de Ucrania desde 2014. ^{[ 40 ]} En diciembre de 2016, ESET concluyó que TeleBots había evolucionado a partir del grupo BlackEnergy y había utilizado ciberataques para sabotear el sector financiero de Ucrania durante la segunda mitad de 2016. ^{[ 41 ]}

Alrededor de la fecha del ataque del 4 de julio a MEDoc, los $10,000 en bitcoin recolectados en las billeteras listadas para NotPetya habían sido retirados, y los expertos especularon que se usaron para comprar espacio en la red anónima Tor . Un mensaje publicado allí, supuestamente de los autores de NotPetya, exigía 100,000 bitcoin (aproximadamente $2.6 millones) para detener el ataque y descifrar todos los archivos afectados. ^{[ 33 ]} El 5 de julio de 2017, un segundo mensaje, también supuestamente de los autores de NotPetya, fue publicado en un sitio web de Tor , exigiendo que quienes buscaban descifrar sus archivos enviaran 100 bitcoin (aproximadamente $250,000). El mensaje estaba firmado con la misma clave privada utilizada por el ransomware Petya original, lo que sugiere que el mismo grupo fue responsable de ambos. ^{[ 42 ]}

Según informes citados en enero de 2018, la Agencia Central de Inteligencia de Estados Unidos afirmó que Rusia era responsable del ciberataque, alegando que la Dirección Principal de Inteligencia (GRU) de Rusia había diseñado NotPetya. ^{[ 43 ]} De manera similar, en febrero de 2018, el Ministerio de Defensa del Reino Unido acusó a Rusia de lanzar el ciberataque, afirmando que, al atacar sistemas en Ucrania, el ataque se había propagado y afectado a sistemas importantes en el Reino Unido y otros lugares. Rusia negó su participación, señalando que los sistemas rusos también se vieron afectados por el ataque. ^{[ 44 ]}

El periodista de tecnología de Wired, Andy Greenberg , al revisar el historial de los ciberataques, afirmó que estos fueron atribuidos a un grupo de hackers militares rusos llamado " Sandworm ". Greenberg aseguró que Sandworm fue responsable de los apagones de 2016 en Kiev, entre otros incidentes. Según los informes, el grupo había estado atacando al sector financiero de Ucrania y, a principios de 2017, supuestamente obtuvo acceso a los servidores de actualización de MEDoc, que luego se utilizaron para distribuir el malware que facilitó el ciberataque en junio de 2017. ^{[ 18 ]}

Entre las empresas afectadas se incluyen Antonov , Kyivstar , Vodafone Ucrania , lifecell , los canales de televisión STB , ICTV y ATR , Kyiv Metro , UkrGasVydobuvannya (UGV) , las gasolineras WOG , DTEK , EpiCentre K , el Aeropuerto Internacional de Kiev (Zhuliany) , Prominvestbank , Ukrsotsbank , KredoBank , Oshchadbank y otras, ^{[ 13 ]} con más de 1500 entidades jurídicas y personas físicas que se pusieron en contacto con la Policía Nacional de Ucrania para indicar que habían sido víctimas del ciberataque del 27 de junio de 2017. ^{[ 45 ]} Oshchadbank volvió a estar plenamente operativo el 3 de julio de 2017. ^{[ 46 ]} Los ordenadores de la compañía eléctrica de Ucrania también quedaron fuera de servicio debido al ataque, pero la empresa continuó operando plenamente sin utilizar ordenadores. ^{[ 8 ]}

Si bien más del 80% de las empresas afectadas eran de Ucrania,El ransomware también se propagó a varias empresas en otras ubicaciones geográficas debido a que esas empresas tienen oficinas en Ucrania y redes en todo el mundo. Las empresas no ucranianas que informaron incidentes relacionados con el ataque incluyen al procesador de alimentos Mondelez International , ^{[ 47 ]} la subsidiaria APM Terminals de la compañía naviera internacional AP Moller-Maersk ; la subsidiaria de envíos de FedEx TNT Express (en agosto de 2017 sus entregas todavía estaban interrumpidas debido al ataque), ^{[ 48 ]} la compañía naviera china COFCO Group ; la empresa francesa de materiales de construcción Saint Gobain ; ^{[ 49 ]} la agencia de publicidad WPP plc ; ^{[ 50 ]} Heritage Valley Health System de Pittsburgh ; ^{[ 51 ]} el bufete de abogados DLA Piper ; ^{[ 52 ]} la compañía farmacéutica Merck & Co .; ^{[ 53 ]} el fabricante de bienes de consumo Reckitt Benckiser ; y el proveedor de software Nuance Communications . ^{[ 54 ]} Un oficial de policía ucraniano cree que el ataque de ransomware fue diseñado para ser global con el fin de desviar la atención del ciberataque dirigido contra Ucrania. ^{[ 55 ]}

El costo del ciberataque aún no se había determinado, ya que, una semana después del ataque inicial, las empresas seguían trabajando para mitigar los daños. Reckitt Benckiser redujo sus estimaciones de ventas en un 2 % (unos 130 millones de dólares) para el segundo trimestre, principalmente debido al ataque que afectó a su cadena de suministro global. ^{[ 54 ] [ 56 ]} Tom Bossert , asesor de Seguridad Nacional del Presidente de los Estados Unidos, declaró que el daño total superaba los 10.000 millones de dólares . ^{[ 18 ]} Los daños estimados para empresas específicas incluían más de 870 millones de dólares para Merck, 400 millones de dólares para FedEx, 384 millones de dólares para Saint-Gobain y 300 millones de dólares para Maersk. ^{[ 18 ]}

El secretario del Consejo de Seguridad y Defensa Nacional de Ucrania, Oleksandr Turchynov, afirmó que había indicios de la participación rusa en el ciberataque del 27 de junio, aunque no presentó pruebas directas. ^{[ 57 ]} Funcionarios rusos negaron cualquier participación, calificando las afirmaciones de Ucrania de «acusaciones generalizadas sin fundamento». ^{[ 37 ]} El secretario general de la OTAN, Jens Stoltenberg, prometió el 28 de junio de 2017 que la OTAN continuaría apoyando a Ucrania para fortalecer su ciberdefensa . ^{[ 58 ]} El secretario de prensa de la Casa Blanca emitió un comunicado el 15 de febrero de 2018 atribuyendo el ataque al ejército ruso y calificándolo como «el ciberataque más destructivo y costoso de la historia». ^{[ 59 ]}

El empresario de TI y presidente del consejo de supervisión de la empresa Oktava Capital, Oleksandr Kardakov, propuso crear una defensa cibernética civil en Ucrania. ^{[ 60 ]}

• Ciberataque a la red eléctrica de Ucrania en diciembre de 2015
• Guerra cibernética ruso-ucraniana
• Filtración de archivos Vulkan

• Greenberg, Andy (20 de junio de 2017). "Cómo una nación entera se convirtió en el laboratorio de pruebas de Rusia para la ciberguerra" . Wired .