A medida que la invasión rusa de Ucrania continúa por tercera semana, los investigadores han explorado cómo las tecnologías en la nube están contribuyendo al conflicto, al menos, en el campo de batalla virtual.
Cuando Rusia cruzó a Ucrania en febrero, esto desencadenó una acción en línea.
Ucrania ya había experimentado múltiples ataques que provocaron la desfiguración del sitio web, interrupciones de denegación de servicio distribuida (DDoS) y el uso de malware de limpieza destructivo. Luego, hacktivistas anónimos se involucraron, y el gobierno de Ucrania pidió voluntarios con habilidades de seguridad cibernética para ayudar a proteger la infraestructura crítica.
Para marzo, Ucrania había comenzado a formar lo que los funcionarios llamaron un «ejército de TI» encargado de la defensa de la red, así como contraataques ofensivos contra los actores de amenazas rusos.
Según una nueva investigación realizada por Team Nautilus de Aqua Security, las tecnologías en la nube ahora juegan un papel en el lado digital del conflicto.
El equipo ha rastreado código y herramientas en repositorios públicos, incluidas imágenes de contenedores de Docker, bibliotecas de códigos y paquetes de software populares como PyPI, npm y Ruby.
Team Nautilus buscó nombres, guías y herramientas promovidas para su uso en ataques cibernéticos por ambos lados. En total, aproximadamente el 40% de estos repositorios públicos estaban «relacionados con actividades de denegación de servicio destinadas a interrumpir el tráfico de red de servicios en línea», según los investigadores.
Dos imágenes de contenedor, «abagayev/stop-russia:latest» y «erikmnkl/stoppropaganda:latest», fueron de particular interés para el equipo. Ambas son herramientas DDoS que contienen guías prácticas, lo que amplía el potencial de la interrupción del sitio web a través de la implementación en la nube para audiencias sin experiencia técnica.
Los proveedores de servicios financieros y múltiples en Rusia están en la lista de objetivos.
«Ambas imágenes de contenedores también incluían herramientas de ataque que inician la inundación de DNS realizada a través del protocolo UDP, enviando una gran cantidad de solicitudes de DNS a UDP en el puerto 53 y dirigidas contra los bancos rusos», señaló el equipo.
Los Honeypots implementados por Team Nautilus, configurados para recopilar datos sobre direcciones IP relacionadas con Rusia y Ucrania, revelaron que el 84 % de los objetivos DDoS estaban afiliados a direcciones IP rusas, mientras que el 16 % estaban vinculados a Ucrania.
En general, las organizaciones de redes y medios fueron las más atacadas.
«A medida que avanza la tecnología, los actores de amenazas experimentados pueden crear y distribuir herramientas automatizadas simples que permiten a las personas menos capacitadas unirse y participar en la guerra cibernética», dicen los investigadores. «También permite que las personas y los grupos de piratería organizados influyan en el conflicto, utilizando sus conocimientos y recursos. Podemos ver cómo las tecnologías emergentes son relevantes en estos esfuerzos y pueden ayudar a tener un impacto».
En noticias relacionadas, el Grupo de Análisis de Amenazas (TAG) de Google eliminó una «operación de influencia coordinada» vinculada a Bielorrusia, Moldavia y Ucrania, y las protecciones de cuentas se incrementaron para los usuarios ucranianos sospechosos de estar en mayor riesgo de compromiso debido a la invasión.
El Equipo de Respuesta a Emergencias Informáticas de Ucrania (CERT-UA) advirtió previamente que el grupo de amenazas bielorruso Ghostwriter, también rastreado como UNC1151, está difundiendo activamente material contra la OTAN y está involucrado en una serie de campañas de phishing.
El 11 de marzo, la agencia dijo que UAC-0056 también estaba entregando droppers maliciosos, alojados en los servidores de Discord, a las organizaciones víctimas. Según Palo Alto Networks, una de las víctimas fue una empresa de energía en Ucrania.
Cobertura anterior y relacionada
¿Tienes un consejo? Póngase en contacto de forma segura a través de WhatsApp | Señal al +447713 025 499, o más en Keybase: charlie0
