Google hizo público que, a través de sus equipos de ciberseguridad interceptó un ataque de APTs y Drive-by de "nivel experto". Según la compañía, los atacantes explotaron 11 vulnerabilidades en Safari y Chrome que afectaban a dispositivos con iOS, Android y Windows. Lo que Google omitió en su reporte fue que el ataque era en realidad una operación antiterrorista llevada a cabo por aliados de Estados Unidos. La decisión unilateral del gigante de Mountain View comprometió una maniobra de inteligencia que llevaba nueve meses activa.  MIT Technology Review publicó un artículo en el que se relataba la aparente división interna de Google por la detección y reporte de varios incidentes de ciberseguridad.

Google,  impidió un ciberataque que en realidad era una operación antiterrorista

Mientras que por lo general el buen trabajo de un equipo de detección debería ser motivo de gran alivio y reconocimiento, en este caso la división interna viene motivada por los actores (y el objetivo) que al parecer había tras la explotación de las 11 vulnerabilidades 0-day empleadas en las campañas. Y es que, conforme a la publicación del MIT, las operaciones detectadas (y reportadas públicamente) correspondían a operaciones de contraterrorismo llevadas a cabo por aliados occidentales, operaciones que se habrían visto interrumpidas tras los informes publicados por los analistas. 

La división de opiniones no queda sólo en Google, sino que diversos medios se pronuncian al respecto, sobre si se procedió adecuadamente o no, o si se proporcionó toda la información que debería haberse proporcionado. Por un lado, podemos encontrar fuentes que destacan el aparente secretismo o falta de detalle sobre las vulnerabilidades reportadas en su momento. Otras hacen hincapié en los borrosos límites que tienen las operaciones de inteligencia y contrainteligencia y en la labor tan importante que desempeñan equipos como Project Zero o Threat Analysis Group. 

Desde luego es un asunto muy sujeto a debate, y recuerda a otros temas bastante sonados, como aquel “Apple vs FBI”, en el que Apple se negó a desbloquear un iPhone 5C de los terroristas de San Bernardino, amparándose en la protección que deben ofrecer a sus clientes, procurando evitar sembrar un precedente. Este es otro caso curioso, en el que se ofrecieron varios comunicados sobre vulnerabilidades graves que afectaban a Chrome y Safari, y posteriormente se dieron más detalles sobre las operaciones, bajo la premisa de mantener informados a los usuarios. 

En concreto, el 18 de Marzo daban detalles en el blog de Project Zero, resultados de una investigación de varios meses por la que se descubrió una operación que explotaba siete vulnerabilidades 0-day afectando a diferentes plataformas (ver en la figura posterior): CVE-2020-15999, CVE-2020-17087, CVE-2020-16009, CVE-2020-16010, CVE-2020-27930, CVE-2020-27950, CVE-2020-27932. Esas vulnerabilidades, sumadas a otras cuatro descubiertas en una operación previa, publicadas el 12 de Enero de 2021 también en el blog de Project Zero, conforman las 11 vulnerabilidades 0-day de las que estos días estamos escuchando hablar. 

La operación empleaba la redirección de páginas Web a servidores con el código dañino. El siguiente diagrama muestra el flujo de opciones que sigue a la conexión de un dispositivo a alguna de las webs afectadas, que redirigirían el tráfico a uno de los dos servidores: 

• Server #1 para iOS y Windows, y sólo para Android si server #2 fallase.
• Server #2 para Android. 

Los analistas destacan en el resumen que iOS, Android y Windows fueron las únicas plataformas testeadas mientras que los servidores estuvieron activos y que no descartarían que otras plataformas puedan verse afectadas.  

Pese a las descripciones del suceso, no se han publicado detalles más específicos sobre la operativa del ataque, y también esto ha despertado algunos comentarios críticos al respecto. Las opiniones van desde quienes creen que no debería haberse publicado nada al respecto para evitar afectar a la operación de contraterrorismo, pasando por los que creen que se ha publicado el contenido en su justa medida – los analistas no publican nada sobre los actores en su comunicado – hasta aquellos que defienden que todo debería ser público, incluso los IOCs y toda la información que ayude a identificar estos métodos, equiparándolo al caso de SolarWinds, aunque para muchos no sea lo mismo. 

Fuentes:

https://hipertextual.com/2021/03/google-desmonto-operacion-hackers-antiterrorista

https://unaaldia.hispasec.com/2021/03/google-reporta-una-operacion-que-usaba-11-vulnerabilidades-0-day.html

Más información: 

Project Zero. News and updates from the Project Zero team at Google. In-the-Wild series: October 2020 0-day discovery. Maddie Stone, Project Zero. 18 Marzo 2021. https://googleprojectzero.blogspot.com/2021/03/in-wild-series-october-2020-0-day.html

Google’s top security teams unilateally shut down a counterterrorism operation. MIT Technology Review. 26 Marzo 2021. https://www.technologyreview.com/2021/03/26/1021318/google-security-shut-down-counter-terrorist-us-ally/

Google unilaterlamente detuvo una operación antiterrorista de EEUU. SeguInfo. 29 Marzo 2021. https://blog.segu-info.com.ar/2021/03/google-unilateralmente-detuvo-una.html

Dark holes and apex threat actors. Ryan Naraine. 23 Marzo 2021. https://securityconversations.com/dark-holes-and-apex-threat-actors/

The sudden explosion of zero-day attacks. Ryan Naraine. 8 de Marzo 2021. https://securityconversations.com/the-sudden-explosion-of-zero-day-attacks/

Nuevo 0-day corregido en Google Chrome. Raquel Gálvez. 4 de Marzo 2021. https://unaaldia.hispasec.com/2021/03/nuevo-0-day-en-google-chrome.html

Apple vs FBI: final de la primera batalla de una guerra mucho más grande. Apple Sfera, Eduado Archanco. 26 Marzo 2016. https://www.applesfera.com/apple-1/apple-vs-fbi-final-de-la-primera-batalla-de-una-guerra-mucho-mas-grande