Hackers en guerra, ¿el mundo está realmente en guerra?

Guerra de hackers: Estados-nación respaldan a agentes de amenazas para hackear a otros grupos

Agentes de amenazas avanzados están hackeando de manera activa a otros grupos de ataque para robar datos de las víctimas, tomar prestadas herramientas y técnicas, y reutilizar entre ellos su infraestructura, dificultando a los investigadores de seguridad la obtención de inteligencia para combatir estas amenazas, según el Equipo Global de Investigación y Análisis de Kaspersky Lab (GReAT, por sus siglas en inglés).

Obtener inteligencia acertada contra las amenazas se basa en la identificación de patrones y herramientas que señalan a un agente de amenazas particular.

Dichos conocimientos permiten a los investigadores asignar mejor las metas, los objetivos y los comportamientos de los diferentes atacantes, así como ayudar a las organizaciones a determinar su nivel de riesgo.

Cuando los agentes de amenazas comienzan a hackearse entre ellos y a apropiarse de las herramientas, la infraestructura e incluso las víctimas del otro, este modelo se derrumba rápidamente.

Kaspersky Lab cree que tales ataques posiblemente sean implementados principalmente por grupos respaldados por estados-nación, y dirigidos a agentes extranjeros o menos competentes.

Es importante que los investigadores de seguridad de TI aprendan a detectar e interpretar los signos de estos ataques, para que puedan presentar su inteligencia en su contexto.

En una revisión detallada de las oportunidades de estos ataques, los investigadores del equipo Global de Investigación y Análisis de Kaspersky Lab identificaron dos estrategias principales: uno pasivo y otro activo.

Los ataques pasivos implican interceptar los datos en tránsito de otros grupos, por ejemplo, cuando se mueven entre las víctimas y los servidores de mando y control, estos son casi imposibles de detectar.

El enfoque activo implica infiltrarse en la infraestructura maliciosa de otro agente de amenazas.

Existe un mayor riesgo de detección en la estrategia activo, pero también ofrece más beneficios, ya que permite al atacante extraer información de manera regular, controlar su objetivo y sus víctimas, e incluso inyectar sus propios implantes o montar ataques en nombre de su víctima.

El éxito de los ataques activos depende en gran medida de que el objetivo cometa errores en la seguridad operacional.

El equipo GReAT ha encontrado una serie de artefactos extraños e inesperados al investigar a agentes de amenaza específicos que sugieren que estos ataques activos ya están ocurriendo públicamente.

Los ejemplos incluyen:

  1. Backdoors instaladas en la infraestructura de control y mando (C&C) de otra entidad

La instalación de un backdoor o puerta trasera en una red hackeada permite a los atacantes permanecer dentro de las operaciones de otro grupo. Los investigadores de Kaspersky Lab han encontrado lo que parecen ser dos ejemplos de estas puertas traseras.

Uno de ellos fue encontrado en 2013, cuando se analizaba un servidor utilizado por NetTraveler, una campaña en idioma chino dirigida a activistas y organizaciones en Asia.

La segunda fue encontrada en 2014, cuando se investigaba un sitio web hackeado y usado por Crouching Yeti (también conocido como Energetic Bear), un agente de amenazas en idioma ruso que ataca al sector industrial desde 2010.

Los investigadores notaron que, durante un breve período de tiempo, el panel de administración de la red C&C fue modificado con una etiqueta que apuntaba a una dirección IP remota en China (probablemente una señal falsa).

Los investigadores creen que esto también era una puerta trasera perteneciente a otro grupo, aunque no hay indicadores de quién podría ser.