Ciberataques en Ucrania en 2022

Durante el período previo a la invasión rusa de Ucrania y la invasión rusa de Ucrania , se registraron múltiples ciberataques contra Ucrania , así como algunos ataques contra Rusia . El primer ciberataque importante tuvo lugar el 14 de enero de 2022 y dejó fuera de servicio más de una docena de sitios web del gobierno ucraniano . ^{[ 1 ]} Según funcionarios ucranianos, alrededor de 70 sitios web gubernamentales, incluidos el Ministerio de Asuntos Exteriores , el Gabinete de Ministros y el Consejo Nacional de Seguridad y Defensa (CNSD), fueron atacados. La mayoría de los sitios fueron restaurados a las pocas horas del ataque. ^{[ 2 ]} El 15 de febrero, otro ciberataque dejó fuera de servicio varios servicios gubernamentales y bancarios. ^{[ 3 ] [ 4 ]}

El 24 de febrero, Rusia lanzó una invasión a gran escala de Ucrania. Los servicios de inteligencia occidentales creían que esta iría acompañada de un importante ciberataque contra la infraestructura ucraniana, pero esta amenaza no se materializó. ^{[ 5 ]} Los ciberataques contra Ucrania han continuado durante la invasión, pero con un éxito limitado. Grupos de hackers independientes, como Anonymous , han lanzado ciberataques contra Rusia en represalia por la invasión. ^{[ 5 ] [ 6 ]}

El gobierno canadiense, en un libro blanco sin fecha publicado después del 22 de junio de 2022, creía que "el alcance y la gravedad de las operaciones cibernéticas relacionadas con la invasión rusa de Ucrania han sido casi con toda seguridad más sofisticadas y generalizadas de lo que se ha informado en fuentes abiertas". ^{[ 7 ]}

En el momento del ataque, las tensiones entre Rusia y Ucrania eran elevadas, con más de 100.000 soldados rusos estacionados cerca de la frontera con Ucrania y conversaciones en curso entre Rusia y la OTAN . ^{[ 1 ]} El gobierno estadounidense alegó que Rusia se estaba preparando para una invasión de Ucrania, incluyendo "actividades de sabotaje y operaciones de información". Estados Unidos también habría encontrado pruebas de una "operación de falsa bandera" en el este de Ucrania, que podría usarse como pretexto para la invasión. ^{[ 2 ]} Rusia niega las acusaciones de una invasión inminente, pero ha amenazado con una "acción técnico-militar" si no se cumplen sus demandas, especialmente la de que la OTAN nunca admita a Ucrania en la alianza. Rusia se ha manifestado firmemente en contra de la expansión de la OTAN hasta sus fronteras. ^{[ 2 ]}

Los ataques del 14 de enero de 2022 consistieron en que los piratas informáticos reemplazaron los sitios web con texto en ucraniano , polaco erróneo y ruso , que decía "ten miedo y espera lo peor" y alegaba que se había filtrado información personal a Internet. ^{[ 8 ]} Alrededor de 70 sitios web gubernamentales se vieron afectados, incluidos el Ministerio de Asuntos Exteriores , el Gabinete de Ministros y el Consejo de Seguridad y Defensa . ^{[ 9 ]} El SBU ha declarado que no se filtró ningún dato. Poco después de que apareciera el mensaje, los sitios fueron desconectados. Los sitios fueron restaurados en su mayoría en unas pocas horas. ^{[ 1 ]} El subsecretario del NSDC, Serhiy Demedyuk, declaró que la investigación ucraniana del ataque sospecha que se utilizaron los derechos de administración de una empresa externa para llevar a cabo el ataque. El software de la empresa no identificada se había utilizado desde 2016 para desarrollar sitios gubernamentales, la mayoría de los cuales se vieron afectados en el ataque. ^{[ 9 ]} Demedyuk también culpó a UNC1151, un grupo de hackers presuntamente vinculado a la inteligencia bielorrusa, del ataque. ^{[ 10 ]}

Otro ataque de malware destructivo tuvo lugar casi al mismo tiempo, apareciendo por primera vez el 13 de enero. Detectado inicialmente por el Centro de Inteligencia de Amenazas de Microsoft (MSTIC), el malware se instaló en dispositivos pertenecientes a "múltiples organizaciones gubernamentales, sin fines de lucro y de tecnología de la información" en Ucrania. ^{[ 11 ]} Posteriormente, se informó que esto incluía al Servicio Estatal de Emergencias y a la Oficina de Seguros de Transporte Motorizado. ^{[ 12 ]} El software, denominado DEV-0586 o WhisperGate, estaba diseñado para parecer un ransomware, pero carecía de una función de recuperación, lo que indicaba la intención de simplemente destruir archivos en lugar de cifrarlos para obtener un rescate. ^{[ 11 ]} El MSTIC informó que el malware estaba programado para ejecutarse cuando el dispositivo objetivo se apagaba. El malware sobrescribía el registro de arranque maestro (MBR) con una nota de rescate genérica. A continuación, el malware descargaba un segundo archivo .exe , que sobrescribía todos los archivos con ciertas extensiones de una lista predeterminada, eliminando todos los datos contenidos en los archivos objetivo. La carga útil del ransomware difiere de un ataque de ransomware estándar en varios aspectos, lo que indica una intención exclusivamente destructiva. ^{[ 13 ]} Sin embargo, evaluaciones posteriores indican que el daño fue limitado, probablemente una decisión deliberada de los atacantes. ^{[ 12 ]}

El 19 de enero, la amenaza persistente avanzada (APT) rusa Gamaredon (también conocida como Primitive Bear ) intentó comprometer una entidad gubernamental occidental en Ucrania. ^{[ 14 ]} El espionaje cibernético parece ser el objetivo principal del grupo, ^{[ 14 ]} que ha estado activo desde 2013; a diferencia de la mayoría de las APT, Gamaredon ataca ampliamente a todos los usuarios en todo el mundo (además de centrarse también en ciertas víctimas, especialmente organizaciones ucranianas ^{[ 15 ]} ) y parece proporcionar servicios a otras APT. ^{[ 16 ]} Por ejemplo, el grupo de amenazas InvisiMole ha atacado sistemas selectos que Gamaredon había comprometido y analizado previamente. ^{[ 15 ]}

A partir del 6 de marzo, Rusia comenzó a aumentar significativamente la frecuencia de sus ciberataques contra civiles ucranianos. ^{[ 52 ]}

Solo el 9 de marzo, el resolvedor recursivo Quad9 , que bloquea el malware, interceptó y mitigó 4,6 millones de ataques contra ordenadores y teléfonos en Ucrania y Polonia, una tasa más de diez veces superior a la media europea. El experto en ciberseguridad Bill Woodcock, de Packet Clearing House, señaló que las consultas DNS bloqueadas procedentes de Ucrania muestran claramente un aumento de los ataques de phishing y malware contra los ucranianos, y destacó que las cifras de Polonia también eran superiores a lo habitual porque el 70%, o 1,4 millones, de los refugiados ucranianos se encontraban en Polonia en ese momento. ^{[ 53 ]} Al explicar la naturaleza del ataque, Woodcock afirmó: «Los ucranianos están siendo blanco de una gran cantidad de ataques de phishing, y gran parte del malware que llega a sus máquinas intenta contactar con infraestructuras maliciosas de mando y control». ^{[ 52 ]}

El 28 de marzo, RTComm.ru, un proveedor de servicios de Internet ruso, secuestró mediante BGP el bloque de direcciones IPv4 104.244.42.0/24 de Twitter durante un período de dos horas y quince minutos. ^{[ 54 ] [ 55 ]}

• Ataques de ransomware en Ucrania en 2017
• Preludio a la invasión rusa de Ucrania en 2022.
• Hackeo de Viasat
• Kaspersky y el gobierno ruso
• Guerra cibernética ruso-ucraniana
• Guerra cibernética por parte de Rusia
• Ataques DDoS de 2022 contra Rumania
• Lista de ciberataques