El gobierno de Estados Unidos acusó formalmente a seis oficiales de inteligencia rusos GRU por llevar a cabo ataques de malware destructivos con el objetivo de perturbar y desestabilizar a otras naciones y causar pérdidas monetarias. Las seis personas han sido acusadas de desarrollar componentes para el malware NotPetya, Olympic Destroyer, KillDisk, así como de preparar campañas de spearphishing dirigidas contra los Juegos Olímpicos de Invierno de PyeongChang 2018, lo que provocó daños e interrupciones en las redes informáticas en Francia, Georgia y los Países Bajos. , República de Corea, Ucrania, Reino Unido y Estados Unidos.

• Estados Unidos acusa a los piratas informáticos rusos de los ataques NotPetya, KillDisk y OlympicDestroyer
• Google advirtió y alertó a más de 33,000 usuarios durante los primeros tres trimestres de 2020 para advertirles de ataques de actores estatales.

Responsables de malware destructivo

Las personas, que trabajan para la Unidad 74455 de la Dirección Principal de Inteligencia de Rusia (GRU-Agencia de inteligencia militar de Rusia), Sandworm, han sido acusadas de perpetrar "la serie de ataques informáticos más disruptiva y destructiva jamás atribuida a un solo grupo", según el Departamento de Justicia (DoJ).

Los seis hombres han sido acusados ​​de siete cargos de conspiración para llevar a cabo fraude informático y abuso de conspiración por cable , fraude electrónico, daños en computadoras protegidas y robo de identidad agravado.

• Yuriy Sergeyevich Andrienko
• Sergey Vladimirovich Detistov
• Pavel Valeryevich Frolov
• Anatoliy Sergeyevich Kovalev
• Artem Valeryevich Ochichenko
• Petr Nikolayevich Pliskin

"El objeto de la conspiración era desplegar malware destructivo y tomar otras acciones disruptivas, para el beneficio estratégico de Rusia, a través del acceso no autorizado ('piratería') de las computadoras de las víctimas", dijeron los fiscales.

"En apoyo de la conspiración, Andrienko, Detistov, Frolov, Kovalev, Ochichenko, Pliskin y otros conocidos y desconocidos por el gran jurado adquirieron, mantuvieron y utilizaron servidores, cuentas de correo electrónico, aplicaciones móviles maliciosas e infraestructura de piratería relacionada para participar en campañas de spear-phishing y otros métodos de intrusión en la red contra las computadoras utilizadas por las víctimas ".

Hace cinco años, los piratas informáticos rusos pertenecientes al grupo Sandworm (también conocido como APT28, Telebots, Voodoo Bear o Iron Viking) atacaron la red eléctrica de Ucrania, el Ministerio de Finanzas y el Servicio del Tesoro del Estado utilizando malware como BlackEnergy, Industroyer y KillDisk, antes de embarcarse en un serie de ciberataques destructivos, incluido el lanzamiento de NotPetya en 2017 y el objetivo de los Juegos Olímpicos de Invierno de Pyeongchang con campañas de phishing y malware "Olympic Destroyer".

Sus ataques abarcan la última década e incluyen algunos de los mayores ciberataques conocidos hasta la fecha:

•     Infraestructura crítica y gobierno de Ucrania: desde diciembre de 2015 hasta diciembre de 2016, el grupo orquestó ataques de malware destructivos contra la red eléctrica de Ucrania, el Ministerio de Finanzas de Ucrania y el Servicio de Tesorería del Estado de Ucrania, utilizando malware que alteró los equipos industriales (BlackEnergy en 2015 e Industroyer en 2016) o discos duros borrados (KillDisk).
•     Elecciones francesas: en abril y mayo de 2017, Sandworm orquestó campañas de spearphishing y esfuerzos relacionados de piratería y filtración dirigidos a "La République En Marche" del presidente francés Macron. ("En Marche!") Partido político, políticos franceses y gobiernos locales franceses antes de las elecciones francesas de 2017.
•     El brote de NotPetya Ransomware: el 27 de junio de 2017, Sandworm lanzó el NotPetya ransomware. Inicialmente dirigido a empresas ucranianas, el ransomware se extendió rápidamente e impactó a empresas de todo el mundo, causando daños por más de mil millones de dólares a sus víctimas.
•     Anfitriones, participantes, socios y asistentes de los Juegos Olímpicos de Invierno de PyeongChang: entre diciembre de 2017 y febrero de 2018, Sandworm lanzó campañas de phishing y aplicaciones móviles maliciosas dirigidas a ciudadanos y funcionarios de Corea del Sur, atletas olímpicos, socios y visitantes, y al Comité Olímpico Internacional ("COI"). ) funcionarios. Los ataques tuvieron lugar después de que los atletas rusos fueran excluidos del evento deportivo debido a un esquema de dopaje patrocinado por el estado.
•     Sistemas de TI de los Juegos Olímpicos de Invierno de PyeongChang (Destructor Olímpico): desde diciembre de 2017 hasta febrero de 2018, Sandworm orquestó intrusiones en las computadoras que respaldaban los Juegos Olímpicos de Invierno de PyeongChang 2018, que culminaron el 9 de febrero de 2018 con el lanzamiento de Olympic Destroyer, una cepa de malware destructiva. que intentó borrar servidores cruciales durante la ceremonia de apertura.
•     Investigaciones de envenenamiento por Novichok: en abril de 2018, el grupo Sandworm orquestó campañas de phishing dirigidas a investigaciones de la Organización para la Prohibición de las Armas Químicas ("OPCW") y el Laboratorio de Ciencia y Tecnología de Defensa del Reino Unido ("DSTL") sobre el envenenamiento por agentes nerviosos de Sergei Skripal, su hija y varios ciudadanos del Reino Unido.
•     Empresas y entidades gubernamentales de Georgia: en 2018, Sandworm llevó a cabo campañas de spearphishing dirigidas a una importante empresa de medios del país de Georgia. Estos ataques fueron seguidos en 2019 por esfuerzos para comprometer la red del Parlamento georgiano y una campaña masiva de desfiguración de sitios web en 2019.

Ransomware NotPetya

Los daños totales provocados por NotPetya están vinculados a más de $ 10 mil millones hasta la fecha, paralizando a varias empresas multinacionales como Maersk, Merck, TNT Express de FedEx, Saint-Gobain, Mondelēz y Reckitt Benckiser.

"Por ejemplo, el malware NotPetya afectó la prestación de servicios médicos críticos de Heritage Valley a los ciudadanos del Distrito Occidental de Pensilvania a través de sus dos hospitales, 60 oficinas y 18 instalaciones comunitarias satelitales", dijo el Departamento de Justicia. "El ataque provocó la falta de disponibilidad de listas de pacientes, historial de pacientes, archivos de exámenes físicos y registros de laboratorio".

"Heritage Valley perdió el acceso a sus sistemas informáticos de misión crítica (como los relacionados con cardiología, medicina nuclear, radiología y cirugía) durante aproximadamente una semana y los sistemas informáticos administrativos durante casi un mes, lo que provocó una amenaza para la salud y la seguridad públicas ", agregó.

En un desarrollo similar, el gobierno del Reino Unido también acusó formalmente al GRU de perpetrar un reconocimiento cibernético contra funcionarios y organizaciones en los Juegos Olímpicos y Paralímpicos de Tokio 2020 a principios de este verano antes de que fueran pospuestos el próximo año debido al COVID-19.

Esta no es la primera vez que GRU se coloca bajo el escáner DoJ. Hace dos años, el gobierno estadounidense acusó a siete oficiales que trabajaban para la agencia de inteligencia militar por realizar intrusiones informáticas sofisticadas contra entidades estadounidenses como parte de una campaña de influencia y desinformación diseñada para contrarrestar los esfuerzos antidopaje.

Uso irresponsable de malware destructivo

Pero el caso de hoy también es una rareza en la industria de la ciberseguridad. Las normas internacionales eximen a las operaciones de ciberespionaje del enjuiciamiento internacional, ya que el ciberespionaje se considera un brazo de las operaciones normales de recopilación de inteligencia.

Pero al hablar hoy en una conferencia de prensa, los funcionarios estadounidenses dijeron que los ciberataques de Sandworm a menudo se basaban en el uso indiscriminado de malware con capacidades destructivas que causaron no solo pérdidas financieras a miles de empresas, sino que también pusieron en riesgo vidas humanas, mostrando un desprecio por los cibernéticos regulares -normas.

"Como muestra este caso, ningún país ha armado sus capacidades cibernéticas de manera tan maliciosa e irresponsable como Rusia, causando sin precedentes daños colaterales sin precedentes para perseguir pequeñas ventajas tácticas y satisfacer arrebatos de rencor", dijo el Secretario de Justicia Auxiliar de Seguridad Nacional, John C. Demers. refiriéndose a ataques como BlackEnergy, NotPetya y OlympicDestroyer, todos los cuales no tenían como objetivo la recopilación de inteligencia, sino que eran claros ataques destructivos con la intención de sabotaje.

El fiscal estadounidense Scott W. Brady, uno de los fiscales estadounidenses, dijo que Estados Unidos ha estado trabajando en un caso contra los operadores de Sandworm durante más de dos años, como parte de las secuelas del brote de ransomware NotPetya.

"Los crímenes cometidos por funcionarios del gobierno ruso fueron contra víctimas reales que sufrieron daños reales", dijo Brady en una declaración preparada. "Tenemos la obligación de responsabilizar a quienes cometen delitos, sin importar dónde residan ni para quién trabajen, a fin de buscar justicia en nombre de estas víctimas".

Poco después de que se anunciaran las acusaciones, el gobierno del Reino Unido también acusó formalmente al grupo Sandworm de Rusia de intentar interrumpir los Juegos Olímpicos de Tokio de este año antes de que el evento se trasladara al próximo año debido al COVID-19. El Reino Unido también mostró su apoyo al caso legal de Estados Unidos.

Fuentes:

https://thehackernews.com/2020/10/russian-hackers.html

https://www.zdnet.com/article/us-charges-russian-hackers-behind-notpetya-killdisk-olympicdestroyer-attacks/