Ataques DDoS de 2009 contra Corea del Sur

Los ciberataques de julio de 2009 fueron una serie de ciberataques coordinados contra importantes sitios web gubernamentales, de medios de comunicación y financieros en Corea del Sur y Estados Unidos . ^{[ 1 ]} Los ataques implicaron la activación de una botnet —un gran número de computadoras secuestradas— que accedieron maliciosamente a sitios web objetivo con la intención de sobrecargar sus servidores debido a la afluencia de tráfico, lo que se conoce como un ataque DDoS . ^{[ 1 ]} La mayoría de las computadoras secuestradas se encontraban en Corea del Sur. ^{[ 2 ]} El número estimado de computadoras secuestradas varía ampliamente; alrededor de 20.000 según el Servicio Nacional de Inteligencia de Corea del Sur , alrededor de 50.000 según el grupo de Respuesta de Tecnología de Seguridad de Symantec , ^{[ 3 ]} y más de 166.000 según un investigador de seguridad informática vietnamita que analizó los archivos de registro de los dos servidores que controlaban los atacantes. ^{[ 4 ]} Una investigación reveló que al menos 39 sitios web fueron objetivos de los ataques según los archivos almacenados en los sistemas comprometidos. ^{[ 5 ] [ 6 ]}

La selección y el momento de los ataques —que comenzaron el mismo día que una prueba de misiles balísticos de corto alcance de Corea del Norte— han llevado a sugerir que podrían provenir de Corea del Norte , aunque estas sugerencias no han sido corroboradas. ^{[ 7 ] [ 8 ] [ 9 ]} Posteriormente, los investigadores encontraron vínculos entre estos ciberataques, los ataques de DarkSeoul en 2013 y otros ataques atribuidos al Grupo Lazarus . ^{[ 10 ]} Algunos consideran que este ataque es el comienzo de una serie de ataques DDoS llevados a cabo por Lazarus, denominados "Operación Troya". ^{[ 11 ]}

A pesar de que los ataques se dirigieron a importantes sitios web públicos y privados, la oficina presidencial surcoreana sugirió que se llevaron a cabo con el propósito de causar interrupciones, más que de robar datos. ^{[ 17 ]} Sin embargo, José Nazario, gerente de una empresa estadounidense de seguridad de redes, afirmó que se estima que el ataque produjo solo 23 megabits de datos por segundo, insuficientes para causar interrupciones importantes. ^{[ 5 ]} Dicho esto, los sitios web reportaron interrupciones del servicio durante días después del ataque. ^{[ 8 ]}

Posteriormente, se descubrió que el código malicioso responsable del ataque, Trojan.Dozer y su programa de descarga W32.Dozer, estaba programado para destruir datos en los ordenadores infectados e impedir su reinicio. ^{[ 3 ]} No está claro si este mecanismo llegó a activarse. Expertos en seguridad afirmaron que el ataque reutilizó código del gusano Mydoom para propagar infecciones entre ordenadores. ^{[ 3 ] [ 6 ]} Los expertos también indicaron que el malware utilizado en el ataque «no empleó técnicas sofisticadas para evadir la detección del software antivirus y no parece haber sido escrito por alguien con experiencia en la programación de malware». ^{[ 6 ]}

Se esperaba que los costos económicos asociados con la caída de los sitios web fueran elevados, ya que la interrupción había impedido que las personas realizaran transacciones, compraran artículos o llevaran a cabo negocios. ^{[ 18 ]}

Se desconoce quién está detrás de los ataques. Los informes indican que el tipo de ataques utilizados, comúnmente conocidos como ataques de denegación de servicio distribuidos , no eran sofisticados. ^{[ 9 ] [ 5 ] [ 19 ]} Dada la naturaleza prolongada de los ataques, se los reconoce como una serie de ataques más coordinados y organizados. ^{[ 8 ]}

Según el Servicio Nacional de Inteligencia de Corea del Sur, se localizó el origen de los ataques y el gobierno activó un equipo de respuesta de emergencia contra el ciberterrorismo que bloqueó el acceso a cinco sitios que contenían el código malicioso y a 86 sitios web que lo descargaban, ubicados en 16 países, entre ellos Estados Unidos, Guatemala , Japón y la República Popular China , pero Corea del Norte no estaba entre ellos. ^{[ 20 ]}

El momento en que se produjo el ataque llevó a algunos analistas a sospechar de Corea del Norte. El ataque comenzó el 4 de julio de 2009, el mismo día del lanzamiento de un misil balístico de corto alcance por parte de Corea del Norte, y también ocurrió menos de un mes después de la aprobación de la Resolución 1874 del Consejo de Seguridad de la ONU , que impuso nuevas sanciones económicas y comerciales a Corea del Norte en respuesta a una prueba nuclear subterránea realizada a principios de ese año.

La policía surcoreana analizó una muestra de los miles de computadoras utilizadas por la botnet, afirmando que hay "varias pruebas" de la participación de Corea del Norte o "elementos pro-norcoreanos", pero dijo que podrían no encontrar al culpable. ^{[ 21 ] [ 18 ]} Funcionarios de inteligencia del gobierno surcoreano advirtieron a los legisladores que "un instituto de investigación militar norcoreano había recibido la orden de destruir las redes de comunicaciones del Sur". ^{[ 21 ]}

Joe Stewart, investigador de la Unidad de Contramedidas contra Amenazas de SecureWorks , señaló que los datos generados por el programa atacante parecían estar basados ​​en un navegador en idioma coreano. ^{[ 5 ]}

Varios expertos en seguridad han cuestionado la versión de que el ataque se originó en Corea del Norte. Un analista cree que los ataques probablemente provinieron del Reino Unido, mientras que el analista tecnológico Rob Enderle plantea la hipótesis de que los "estudiantes hiperactivos" podrían ser los culpables. ^{[ 4 ] [ 18 ]} Joe Stewart, de SecureWorks, especuló que el comportamiento de búsqueda de atención impulsó el ataque, aunque señala que la amplitud del ataque fue "inusual". ^{[ 6 ]}

El 30 de octubre de 2009, el Servicio Nacional de Inteligencia (SNI) de Corea del Sur identificó a Corea del Norte como la responsable del ataque. Según el jefe del SNI, Won Sei-hoon , la organización encontró un vínculo entre los ataques y Corea del Norte a través de una dirección IP que el Ministerio de Correos y Telecomunicaciones de Corea del Norte supuestamente "[estaba] utilizando en alquiler (de China)". ^{[ 22 ]}

• Ciberataques de 2007 contra Estonia
• Ciberterrorismo
• Ejercicio de tormenta cibernética
• Laberinto a la luz de la luna
• Lluvia de titanes
• Ataque de denegación de servicio