Accedieron plataforma SOA e IdM después del hackeo de la consultora española Everis. Recordemos que la OTAN usa la plataforma SOA (Service Oriented Architecture) & IdM y la clasificó como secreta mientras se usaba para manejar varias funciones esenciales dentro del programa Polaris. Lograron hacer copias de los datos en esta plataforma utilizando una puerta trasera y que intentaron chantajear a Everis. Fueron más allá e hicieron bromas sobre el envío de los datos robados a los servicios de inteligencia rusos.

La plataforma en la nube de la OTAN ha sido hackeada

• La OTAN usa la plataforma SOA & IdM y la clasificó como secreta mientras se usaba para manejar varias funciones esenciales dentro del programa Polaris.

Como parte del programa de modernización de TI de la OTAN, Polaris emplea la plataforma SOA & IdM y se creó para proporcionar seguridad centralizada, integración y gestión de la información de alojamiento. Como maneja varias funciones críticas, la plataforma fue clasificada como secreta por la alianza militar.

Afirman que lograron hacer copias de los datos en esta plataforma utilizando una puerta trasera y que intentaron chantajear a Everis. Fueron más allá e hicieron bromas sobre el envío de los datos robados a los servicios de inteligencia rusos.

Paul Howland, Oficial del Programa Polaris, explicó los beneficios del programa: “Este proyecto tiene el potencial de cambiar las reglas del juego en la forma en que la OTAN desarrollará y desplegará sus servicios operativos en el futuro. Impulsará la innovación y reducirá los costes. Operacional asegurando una reutilización mucho mayor de las capacidades desplegadas ".

Detrás del ataque dijeron que inicialmente no sabían que podían explotar una vulnerabilidad en la plataforma de la OTAN. Además, se centraron solo en los datos corporativos de Everis en América Latina, ya que la OTAN dijo que estaba preparada para tomar medidas en caso de una amenaza cibernética. Para su sorpresa, una de las plataformas seguras de la OTAN se encontraba entre las subsidiarias de Everis.

Comenzaron a robar más datos de las redes Everis después de que analizaron la empresa y encontraron documentos relacionados con drones y sistemas de defensa militar. Justificaron la actividad de frenar el desarrollo del programa Polaris diciendo que no estaban "por la paz en la tierra y en el mundo cibernético".

Exigieron a Everis un rescate de 14.500 XMR para que no asociaran su identidad con el hack de datos de LATAM Airlines. También han pedido este rescate a cambio de no revelar ningún dato de la OTAN.

Plataforma en la nube clasificada de la OTAN comprometida

En mayo de 2021, hackearon la empresa española llamada Everis con subsidiarias latinoamericanas, comprometiendo múltiples conjuntos de datos, incluida una plataforma de computación en la nube de la OTAN, junto con el código fuente y la documentación asociados. Además de obtener copias de los datos, afirmaron haber eliminado las copias de la empresa y haber tenido la oportunidad de modificar o utilizar la puerta trasera del proyecto. También intentaron extorsionar a Everis e hicieron bromas sobre el envío de datos a los servicios de inteligencia rusos.

La plataforma, conocida como Proyecto de Gestión de Acceso de Identidad y Arquitectura Orientada a Servicios (SOA & IdM) de la OTAN, es uno de los cuatro proyectos centrales de los esfuerzos de modernización de TI de la OTAN. El impulso para la modernización de la TI, también conocido como Programa Polaris, busca consolidar la infraestructura de TI de la OTAN. Según Everis y un documento NO CLASIFICADO DE LA OTAN, SOA & IdM habrían proporcionado una plataforma central "responsable de la seguridad, integración, registro y repositorio, gestión de servicios, descubrimiento de información y alojamiento".

Según los documentos de licitación, la plataforma SOA e IdM se instalaría en centros de datos hasta el nivel NATO SECRET y sería responsable de una serie de funciones críticas. Entre otros servicios, la plataforma sería responsable del registro, la seguridad, la mensajería y la integración con otros servicios. Paul Howland, director del programa Polaris de la Agencia de Información y Comunicaciones (NCI) de la OTAN, describió el proyecto como “un cambio de juego potencial para la forma en que la OTAN desarrolla y despliega sus servicios operativos en el futuro. Impulsará la innovación y reducirá los costos operativos al garantizar una reutilización mucho mayor de las capacidades ".

El contrato de 10,4 millones de euros fue adjudicado por la Agencia NCI, y el trabajo comenzará en enero de 2020 según el sitio web de Everis. Everis anteriormente con la OTAN en 2019, se unió a la firma de un acuerdo de colaboración en ciberseguridad para "un intercambio bilateral rápido de información técnica no clasificada relacionada con amenazas de ciberseguridad". Everis ha brindado servicios de TI a agencias de la OTAN ya en 2017. Dijo el entonces CEO de Everis, Els Blaton, “los datos son el nuevo oro; sin embargo, necesita saber qué hacer con todos esos datos. Everis se esfuerza por utilizar Big Data de forma pragmática para el cliente y analizarlo de forma segura. Dada nuestra base de clientes en Bélgica (instituciones europeas, OTAN y otras instituciones internacionales, y el sector financiero), la ciberseguridad también es imprescindible. Hemos invertido en la creación de un equipo especializado que pueda implementar una estrategia de ciberseguridad para grandes corporaciones e instituciones ”. En 2017, Everis también se adjudicó un contrato de 1,5 millones de euros para una OTAN de próxima generación. 

Según una nota que dejaron Everis y compartieron con Distributed Denial of Secrets (DDoSecrets), inicialmente solo estaban interesados ​​en datos relacionados con subsidiarias latinoamericanas y los datos a los que tenían acceso a través de contratos. Esto parecería incluir registros manifiestos de LATAM Airlines, proporcionaron a DDoSecrets [y que estamos compartiendo con otros periodistas de forma limitada debido a la presencia de PII]. Sin embargo, después de que investigaran más sobre la empresa y vieran referencias a drones y sistemas de defensa, pasaron más tiempo en las redes de la empresa.

Explicaron en una breve charla cifrada con DDoSecrets, interesados ​​en la paz "tanto en el planeta tierra como en el ciberespacio". Explicaron que esta era la razón por la que estaban felices de intentar retrasar el Programa Polaris y costar a Everis más de mil millones de euros (no está claro de dónde salió esta cifra, ya que supera con creces el valor nominal del contrato SOA e IdM). A pesar de esto, afirmaron que el ataque fue “tanto a favor como en contra de la OTAN” porque alguien podría haber infligido más daño que simplemente borrando y filtrando sus datos. Los datos de SOA e IdM proporcionados a DDoSecrets incluían miles de archivos de código fuente, documentación y especificaciones del proyecto.

Después de recibir los datos, DDoSecrets se enteró del archivo README que intentaron extorsionar a Everis, ofreciendo mantener el nombre de la empresa sin asociarlo con la filtración de LATAM Airlines y no divulgar los datos de la OTAN a cambio de 14,500 XMR. Parece que el rescate no se pagó, lo que coincide con el consejo anterior de Everis a otras empresas. Según los informes, Everis fue atacado previamente por ransomware en 2019, aunque no hubo un reconocimiento oficial de la compañía. DDoSecrets ha tomado la decisión de no divulgar los datos en ningún nivel debido a su sensibilidad, la falta de interés público, la participación indirecta de la plataforma en operaciones militares, el claro potencial de abuso y su estado como datos inéditos asociados con un intento de extorsión.

Tanto en el archivo README que se proporcionó originalmente a Everis como en su chat con DDoSecrets, aludieron al potencial de modificar el software SOA e IdM en lugar de eliminarlo e intentar filtrarlo. “Qué desafortunado sería si alguien le hiciera algunos cambios antes de que se implemente en este centro de datos secreto de la OTAN. Creo que les hicimos un favor a todos simplemente eliminándolo ”, escribieron en el archivo README. "Espero que aprecien que acabamos de eliminar toda la basura de Everis en lugar de abrirla por la puerta trasera o tirarla en el FSB Securerop", escribieron en el chat con DDoSecrets.

En sus mensajes finales a DDoSecrets, expresaron su preocupación de que Everis iba a encubrir la violación no solo del público, sino también de sus clientes. "Tenemos la sospecha de que la respuesta actual a incidentes de Everis está cubriendo nuestras propias pistas del cliente [sic]".

A petición de los actores de amenazas, su README / nota de rescate se publicará tal como la recibió DDoSecrets:

    Hola, chicos y chicas.

    Quizás se esté preguntando dónde fueron sus archivos.

    Presentémonos primero. Somos un actor de amenazas por motivos políticos y creemos que es genial que una persona pueda participar en la geopolítica global armada solo con un teclado de computadora.

    Inicialmente solo estábamos interesados ​​en la copia de los datos de Colombia y las subsidiarias chilenas, pero cuando revisamos su sitio web y vimos algunas palabras ridículas como "sistemas no tripulados", "drones" y "sistema de defensa", decidimos gastar un poco más tiempo dentro de su red y hacernos una copia de más datos.

    Así es como se desarrollarán las cosas.

    Publicaremos los datos de sus clientes colombianos y chilenos que inicialmente nos interesaron, pase lo que pase.

    También te daremos la oportunidad de hacer una generosa donación de 14500 XMR (Monero) a esta dirección:

    [Dirección de Monero redactada]

    Si dicha donación se realiza dentro de los próximos 3 días (hasta el sábado), el nombre "Everis" y "NTT Data" no se vincularán a esta filtración, podrá responder al incidente usted mismo y si la filtración es Si se remonta a su empresa, podrá controlar la narrativa en los medios. No se harán más comentarios por nuestra parte.

    Si no se realiza la donación, la filtración incluirá datos de otras partes de la empresa y una descripción detallada de lo fácil que fue para nosotros irrumpir en su red y posiblemente incluso llevar a cabo un ataque a la cadena de suministro en este pequeño proyecto que usted están implementando para la OTAN y EU-LISA.

    Esto incluirá todo el código fuente asociado, la documentación y las especificaciones del proyecto para que La comunidad de seguridad de la información y el público en general pueden juzgar la calidad de su trabajo, lo que básicamente engaña a las organizaciones para que gasten una tonelada de dinero para instalar Docker en una imagen CentOS sin ninguna firma criptográfica para verificar la integridad de esa imagen.

     Qué desafortunado sería si alguien le hiciera algunos cambios antes de que se implemente en este centro de datos secreto de la OTAN. Creo que les hicimos un favor a todos simplemente borrándolo))))

     Podemos charlar y estamos abiertos a algunas negociaciones sobre la oferta que estamos haciendo en esta dirección:

     <snip>

     Lo más probable es que necesite el navegador Tor para acceder a esta URL, que se puede descargar aquí:

     https://www.torproject.org/download/

     Con mucho amor

     Anónimo 

Fuentes:

https://ddosecrets.substack.com/p/exclusive-nato-classified-cloud-platform

https://news.softpedia.com/news/nato-s-cloud-platform-has-been-hacked-533282.shtml