La electricidad, el petróleo y el gas y otras infraestructuras críticas vitales para nuestra vida cotidiana están cada vez más en riesgo por parte de los atacantes cibernéticos que saben que comprometer con éxito los sistemas de control industrial (ICS) y la tecnología operativa (OT) puede permitirles interrumpir o manipular servicios vitales.
Un informe de la empresa de ciberseguridad Dragos detalla diez operaciones de piratería diferentes que se sabe que se han dirigido activamente a sistemas industriales en América del Norte y Europa, y se advierte que es probable que esta actividad crezca en los próximos 12 meses.
La lista incluye varias operaciones de piratería respaldadas por el estado, como Electrum, también conocida como Sandworm, que está vinculada al ejército ruso, Covellite, que está vinculada al Grupo Lazarus de Corea del Norte, y Vanadinita, que está relacionada con APT 41, un grupo de piratería. operación trabajando en nombre de China.
A medida que más infraestructura crítica se conecta a Internet o es accesible para el personal mediante protocolos de escritorio remoto y VPN, se está convirtiendo cada vez más en un objetivo para los piratas informáticos respaldados por los estados nacionales y las bandas de delincuentes cibernéticos interesados en violar y examinar las redes OT para sentar las bases para futuras campañas.
«Mucho de esto está aumentando el apetito por estar en esos lugares, generalmente de operaciones patrocinadas por el estado, donde quieren capacidad donde podrían tener un impacto en el futuro», dijo a MarketingyPublicidad.es Magpie Graham, principal cazador de adversarios y director técnico de Dragos.
Después de que los piratas ingresan a las redes industriales, es poco probable que tenga un impacto inmediato en los sistemas que controlan los procesos operativos porque los atacantes pueden tardar años en comprender todo, pero se trata de sentar las bases para esto en el futuro.
VER: Una estrategia ganadora para la ciberseguridad (Informe especial de MarketingyPublicidad.es)
Las campañas que rastrea Dragos tienen una variedad de objetivos: algunas están relacionadas con el robo de información, o podría haber planes para causar interrupciones, por ejemplo, ciberdelincuentes que buscan lanzar ataques de ransomware. La naturaleza de la tecnología operativa y la dependencia de software y protocolos más antiguos significa que se puede pasar por alto cualquier evidencia de compromiso, lo que les brinda a los piratas informáticos suficiente tiempo para moverse, comprender y obtener el control de las redes.
Es esto lo que los investigadores describen como «la mayor debilidad de la seguridad cibernética» que enfrentan las redes industriales, porque sin tener una imagen completa de lo que debe protegerse de los ataques cibernéticos, no es posible defender completamente las redes de los piratas informáticos.
Las debilidades de ciberseguridad en las redes industriales no son necesariamente nuevas, pero a medida que más grupos de amenazas se interesen en infiltrarse en ellas, podría generar problemas importantes.
El documento también advierte que se han observado actividades relacionadas con ataques cibernéticos dirigidos a la infraestructura industrial desde la invasión rusa de Ucrania y las agencias de seguridad cibernética occidentales han emitido advertencias sobre la necesidad de proteger las redes de los ataques.
Además de tener una buena comprensión de lo que hay en la red, muchas prácticas estándar de ciberseguridad pueden ayudar a proteger las redes OT. Estos incluyen la aplicación de actualizaciones de seguridad para parchear vulnerabilidades conocidas en el software y la aplicación de autenticación multifactor siempre que sea posible.
Se espera que al llamar la atención sobre los grupos de piratería, las campañas y el riesgo para el sector industrial, las organizaciones involucradas presten atención a las advertencias y apliquen las protecciones necesarias para protegerse del ciberespionaje, los ataques disruptivos y otras posibles amenazas a la ciberseguridad.
«Puede funcionar de una manera más positiva, donde hemos visto estos ataques, puede funcionar solo como un recordatorio para que las organizaciones se protejan», dijo Graham.
Según Dragos, los grupos de amenazas más activos que apuntan a la infraestructura crítica son:
- Parásito: un grupo que se enfoca en servicios públicos, aeroespacial y petróleo y gas en Europa, Medio Oriente y América del Norte. El grupo utiliza herramientas de código abierto y vulnerabilidades conocidas para el acceso inicial. Se sospecha que el parásito está relacionado con Irán.
- Xenotiempo: un grupo que apunta a compañías de petróleo y gas en Europa, Estados Unidos y Australia. Se cree que el grupo está vinculado a Rusia.
- Magnalio: un grupo que inicialmente apuntó a compañías de petróleo y gas y aeronaves en Arabia Saudita, que se ha expandido a Europa y América del Norte. Se cree que está relacionado con APT 33, un grupo de piratería iraní patrocinado por el estado.
- Dymalloy: un grupo que tiene como objetivo las empresas de servicios públicos de electricidad, petróleo y gas y otras entidades industriales avanzadas en Europa, Turquía y América del Norte. Descrito como «altamente agresivo», Dymalloy busca persistencia a largo plazo en las redes y se cree que está vinculado a Rusia.
- Electro: este grupo es capaz de desarrollar malware que puede modificar y controlar los procedimientos de OT y los investigadores de Dragos dicen que esta operación fue responsable de Crash Override, también conocido como Industroyer, un ataque de malware en la red eléctrica de Ucrania en diciembre de 2016. Electrum está asociado con Sandworm, una ofensiva operación de piratería que es parte de la agencia de inteligencia militar GRU de Rusia.
- alanita: un grupo que se enfoca en redes empresariales y OT en los sectores de electricidad del Reino Unido y EE. UU., así como en la infraestructura industrial alemana y utiliza el acceso para realizar reconocimientos en las redes para organizar potencialmente futuros eventos disruptivos. Se cree que Allanite está vinculado a Rusia.
- Criseno: Activo desde al menos 2017, este grupo se ha centrado en organizaciones industriales en Europa y Medio Oriente, y principalmente lleva a cabo operaciones de recopilación de inteligencia para facilitar posibles ataques adicionales. Se sospecha que Chrysense está vinculado a Irán.
- Kamacita: un grupo que ha estado activo desde al menos 2014 y se cree que es responsable de los ataques cibernéticos contra las instalaciones eléctricas de Ucrania en 2015 y 2016. El grupo está vinculado a Sandworm.
- covelita: un grupo que se ha centrado en las empresas de servicios eléctricos en Europa, EE. UU. y el este de Asia utilizando archivos adjuntos maliciosos en correos electrónicos de phishing. Se cree que el grupo está vinculado al Grupo Lazarus, un grupo de piratería respaldado por el estado que trabaja en Corea del Norte.
- vanadinita: Un grupo de piratería que se enfoca en software vulnerable externo en organizaciones industriales de todo el mundo. Se cree que está vinculado a APT 41, una operación de piratería china patrocinada por el estado.
MÁS SOBRE CIBERSEGURIDAD
