GhostNet

GhostNet ( chino simplificado :幽灵网; chino tradicional :幽靈網; pinyin : YōuLíngWǎng ) es el nombre que los investigadores del Information Warfare Monitor dieron a una operación de espionaje cibernético a gran escala descubierta en marzo de 2009. ^{[ 1 ] [ 2 ]} Es probable que la operación esté asociada con una amenaza persistente avanzada , o un actor de red que espía sin ser detectado. ^{[ 3 ]} Su infraestructura de mando y control se basa principalmente en la República Popular China y GhostNet ha infiltrado ubicaciones políticas, económicas y mediáticas de alto valor ^{[ 4 ]} en 103 países. Los sistemas informáticos pertenecientes a embajadas , ministerios de asuntos exteriores y otras oficinas gubernamentales, y los centros de exilio tibetanos del Dalai Lama en India, Londres y la ciudad de Nueva York fueron comprometidos.

GhostNet fue descubierto y nombrado después de una investigación de 10 meses por Infowar Monitor (IWM), llevada a cabo luego de que los investigadores de IWM se acercaran al representante del Dalai Lama en Ginebra ^{[ 5 ]} sospechando que su red informática había sido infiltrada. ^{[ 6 ]} El IWM está compuesto por investigadores de The SecDev Group y la consultora canadiense y Citizen Lab , Munk School of Global Affairs en la Universidad de Toronto ; los hallazgos de la investigación fueron publicados en Infowar Monitor , una publicación afiliada. ^{[ 7 ]} Investigadores del Laboratorio de Computación de la Universidad de Cambridge , apoyados por el Instituto para la Protección de la Infraestructura de la Información , ^{[ 8 ]} también contribuyeron a la investigación en una de las tres ubicaciones en Dharamshala , donde se encuentra el gobierno tibetano en el exilio. El descubrimiento de la «GhostNet» y los detalles de sus operaciones fueron publicados por The New York Times el 29 de marzo de 2009. ^{[ 7 ] [ 9 ]} Los investigadores se centraron inicialmente en las acusaciones de ciberespionaje chino contra la comunidad tibetana en el exilio , como casos en los que se extrajeron correspondencia por correo electrónico y otros datos. ^{[ 10 ]}

Se descubrieron sistemas comprometidos en las embajadas de India , Corea del Sur , Indonesia , Rumania , Chipre , Malta , Tailandia , Taiwán , Portugal , Alemania y Pakistán , así como en la oficina del Primer Ministro de Laos . Los ministerios de Asuntos Exteriores de Irán , Bangladesh , Letonia , Indonesia , Filipinas , Brunéi , Barbados y Bután también fueron atacados. ^{[ 1 ] [ 11 ]} No se encontraron pruebas de que se hubieran infiltrado oficinas gubernamentales de Estados Unidos o Reino Unido , aunque se monitorizó un ordenador de la OTAN durante medio día y se infiltraron los ordenadores de la embajada de la India en Washington, D.C. ^{[ 4 ] [ 11 ] [ 12 ]}

Desde su descubrimiento, GhostNet ha atacado otras redes gubernamentales, por ejemplo, los departamentos financieros oficiales canadienses a principios de 2011, dejándolos fuera de servicio. Los gobiernos generalmente no admiten tales ataques, los cuales deben ser verificados por fuentes oficiales pero anónimas. ^{[ 13 ]}

Se envían correos electrónicos a organizaciones objetivo que contienen información contextualmente relevante. Estos correos electrónicos contienen archivos adjuntos maliciosos que, al abrirse, permiten que un troyano acceda al sistema. Este troyano se conecta a un servidor de control, generalmente ubicado en China, para recibir comandos. La computadora infectada ejecutará entonces el comando especificado por el servidor de control. En ocasiones, el comando especificado por el servidor de control provoca que la computadora infectada descargue e instale un troyano conocido como Gh0st Rat que permite a los atacantes obtener el control total y en tiempo real de las computadoras que ejecutan Microsoft Windows . ^{[ 4 ]} Dicha computadora puede ser controlada o inspeccionada por los atacantes, y el software incluso tiene la capacidad de activar las funciones de grabación de cámara y audio de las computadoras infectadas, lo que permite a los atacantes realizar vigilancia. ^{[ 7 ]}

Los investigadores del IWM afirmaron que no podían concluir que el gobierno chino fuera responsable de la red de espionaje. ^{[ 14 ]} Sin embargo, un informe de investigadores de la Universidad de Cambridge indica que creen que el gobierno chino está detrás de las intrusiones que analizaron en la Oficina del Dalai Lama. ^{[ 8 ]}

Los investigadores también han señalado la posibilidad de que GhostNet fuera una operación dirigida por ciudadanos privados en China con fines de lucro o por razones patrióticas, o creada por agencias de inteligencia de otros países como Rusia o Estados Unidos. ^{[ 7 ]} El gobierno chino ha declarado que China "prohíbe estrictamente cualquier delito cibernético". ^{[ 1 ] [ 10 ]}

El "Informe Ghostnet" documenta varias infecciones no relacionadas entre sí en organizaciones vinculadas al Tíbet, además de las infecciones de Ghostnet. Utilizando las direcciones de correo electrónico proporcionadas en el informe del IWM, Scott J. Henderson logró rastrear a uno de los operadores de una de las infecciones (no relacionada con Ghostnet) hasta Chengdu . Identifica al hacker como un hombre de 27 años que estudió en la Universidad de Ciencia y Tecnología Electrónica de China y que actualmente está conectado con el submundo de hackers chinos . ^{[ 15 ]}

A pesar de la falta de pruebas que señalen al gobierno chino como responsable de las intrusiones contra objetivos relacionados con el Tíbet, investigadores de Cambridge han encontrado acciones llevadas a cabo por funcionarios del gobierno chino que se corresponden con la información obtenida mediante intrusiones informáticas. Uno de estos incidentes involucró a un diplomático que fue presionado por Pekín tras recibir una invitación por correo electrónico de sus representantes para visitar al Dalai Lama . ^{[ 8 ]}

Otro incidente involucró a una mujer tibetana que fue interrogada por oficiales de inteligencia chinos y a quien se le mostraron transcripciones de sus conversaciones en línea. ^{[ 14 ] [ 16 ]} Sin embargo, existen otras posibles explicaciones para este suceso. Drelwa utiliza QQ y otros servicios de mensajería instantánea para comunicarse con usuarios chinos de Internet. En 2008, el IWM descubrió que TOM-Skype, la versión china de Skype, registraba y almacenaba los mensajes de texto intercambiados entre usuarios. Es posible que las autoridades chinas obtuvieran las transcripciones de los chats por estos medios. ^{[ 17 ]}

Los investigadores del IWM también han descubierto que, cuando se detecta, GhostNet se controla sistemáticamente desde direcciones IP ubicadas en la isla de Hainan , China, y han señalado que Hainan alberga la instalación de inteligencia de señales de Lingshui y el Tercer Departamento Técnico del Ejército Popular de Liberación. ^{[ 4 ]} Además, se ha revelado que uno de los cuatro servidores de control de GhostNet es un servidor gubernamental. ^{[ 18 ]}

• amenaza persistente avanzada
• Actividad de inteligencia china en el extranjero
• guerra cibernética china
• Espionaje chino en Estados Unidos
• Guerra cibernética
• Espionaje económico e industrial
• Sindicato Honker
• Censura de Internet en China
• Operación Aurora
• RedHack (de Turquía)
• Lluvia de titanes
• Red clandestina
• 14º Dalai Lama

• El Grupo SecDev
• Laboratorio Ciudadano de la Universidad de Toronto
• Rastreo de GhostNet: Investigación de una red de ciberespionaje (Infowar Monitor Report (SecDev y Citizen Lab), 29 de marzo de 2009)
• Enlace alternativo de F-Secure al informe en PDF
• Monitor de guerra de la información: seguimiento del ciberpoder (Universidad de Toronto, Canadá/Centro Munk)
• Twitter: InfowarMonitor
• Kelly, Cathal (31 de marzo de 2009). "El código de los ciberespías a un clic de distancia: una simple búsqueda en Google encuentra rápidamente el enlace al software del programa Ghost Rat utilizado para atacar a los gobiernos" . Toronto Star (Canadá) . Toronto, Ontario, Canadá . Recuperado el 4 de abril de 2009 .
• Lee, Peter (8 de abril de 2009). "Ciberescaramuza en la cima del mundo" . Asia Times Online . Archivado del original el 10 de abril de 2009. Recuperado el 9 de abril de 2009 .
• Bodmer, Kilger, Carpenter y Jones (2012). Engaño inverso: Contraexplotación organizada de amenazas cibernéticas. Nueva York: McGraw-Hill Osborne Media. ISBN 0071772499, ISBN 978-0071772495