El servicio de inteligencia de Canadá (CSIS) obtuvo permiso judicial para neutralizar dos botnets extranjeras que utilizaban servidores y dispositivos IoT infectados en suelo canadiense. Esta operación permitió alterar y eliminar datos maliciosos para proteger infraestructuras críticas, marcando la primera vez que el CSIS usa sus facultades de reducción de amenazas de esta manera. El caso resalta la vulnerabilidad de equipos obsoletos y la necesidad de actualizar el hardware para evitar nuevas infecciones.

 

El servicio de inteligencia de Canadá obtuvo el permiso de un juez para acceder a servidores infectados, routers domésticos y dispositivos IoT situados en suelo canadiense para neutralizar dos botnets gestionadas desde el extranjero.

El Tribunal Federal publicó una versión pública de la sentencia el 15 de junio. Es la primera vez que el Servicio de Inteligencia de Seguridad de Canadá utiliza sus facultades de órdenes de reducción de amenazas de esta manera.

La orden permitió al CSIS alterar, degradar y destruir datos de la botnet en las máquinas infectadas y desconectar los dispositivos de las redes.

Los objetivos eran servidores basados en Canadá, routers de pequeñas oficinas y oficinas en casa (SOHO), y dispositivos del Internet de las Cosas: timbres Ring, cámaras de seguridad, televisores y otros electrodomésticos con Wi-Fi.

La jueza Catherine Kane concedió la orden el 1 de mayo de 2024, la renovó en agosto y emitió los motivos confidenciales en febrero de 2026. La orden permaneció oculta al público durante más de dos años, hasta la publicación redactada de este mes.

El CSIS necesitaba la orden porque la limpieza probablemente habría sido un delito sin ella. Acceder al dispositivo de otra persona y borrar datos es una travesura informática según el Código Penal, por lo que el Servicio necesitaba la aprobación de un juez antes de tocar las máquinas.

El tribunal determinó que la amenaza para Canadá estaba claramente establecida e inminente, y que las medidas eran necesarias, razonables y proporcionales. Subrayó que la operación iba dirigida a los dispositivos, no a las personas: no se buscaron identidades de usuarios, no se interceptó contenido y cualquier dato personal recogido incidentalmente fue destruido.

Las dos botnets seguían el manual estándar de relevo. Un nivel de mando emitía las órdenes; una capa de dispositivos infectados retransmitía el tráfico. Al enrutarse a través de hardware canadiense secuestrado, un estado extranjero puede parecer una conexión ordinaria, un trabajador desde casa o un cliente de un ISP, mientras sondea infraestructuras críticas, gobierno y redes militares.

El propietario del timbre infectado queda como responsable de un tráfico que nunca envió. El tribunal señaló al sector energético entre los objetivos y advirtió que los adversarios podrían dirigir las botnets para sondear y potencialmente interrumpir la infraestructura canadiense.

La sentencia pública resuelve el qué: dos adversarios extranjeros, una amenaza para la seguridad de Canadá, según determinó el tribunal. Lo que elimina es el quién. El momento y la técnica coinciden con un momento específico de principios de 2024, pero The Bureau, que sacó a la luz la sentencia en su informe, dice que no puede saber por los motivos redactados si las dos botnets de Canadá eran ambas chinas, ambas rusas, o una de cada una. La mano de un estado extranjero es un hecho. La bandera es la redacción.

Misma táctica, una autoridad diferente

Ese momento fue una serie de limpiezas de botnets ordenadas por el tribunal en los Estados Unidos. En una operación de diciembre de 2023, el FBI utilizó el propio canal de mando de la botnet para borrar el malware KV-botnet de cientos de routers SOHO estadounidenses, principalmente cajas Cisco y NetGear obsoletas que el grupo Volt Typhoon, vinculado a China, utilizaba para ocultar el acceso que había plantado antes de una posible crisis en los sistemas de comunicaciones, energía, agua y transporte estadounidenses.

Semanas más tarde, llevó a cabo una operación casi idéntica contra una red separada de routers Ubiquiti que el GRU de Rusia, el grupo APT28, había convertido en un relevo de espionaje.

El centro ciber de Canadá se había unido a las advertencias aliadas sobre actores estatales que abusan del equipo SOHO e IoT. Misma forma ordenada por el tribunal en ambas ocasiones: equipo de consumo descuidado, un operador estatal, un juez aprobando la desinfección remota.

La diferencia es quién posee la orden. Las operaciones de EE. UU. fueron de aplicación de la ley, FBI y DOJ actuando bajo la autoridad de registro e incautación.

La de Canadá es un servicio de inteligencia que utiliza medidas de reducción de amenazas, el poder del CSIS para interrumpir activamente una amenaza en lugar de simplemente recopilar inteligencia sobre ella, escrito en la Ley CSIS hace años y reformulado en la Ley de Seguridad Nacional de 2017 que entró en vigor en 2019. El CSIS nunca lo había utilizado así hasta ahora.

Todo se reduce a routers viejos

La lección para los defensores es la más aburrida. Las botnets se alimentan del equipo que nadie mantiene: routers obsoletos todavía conectados a la red, kits IoT que nunca recibieron su última actualización de firmware, cualquier cosa con credenciales predeterminadas y un panel de gestión orientado a internet.

Una limpieza gubernamental no soluciona eso. En las operaciones de EE. UU., el malware se eliminó, pero las vulnerabilidades permanecieron, y un reinicio o un restablecimiento de fábrica podría deshacer la corrección y reabrir la puerta a una nueva infección. Retirar el hardware muerto y bloquear lo que queda depende del propietario, no de la agencia que limpió por ellos.

Un cabo suelto que la sentencia pública no cierra: la solicitud, según The Bureau, se basó en direcciones IP que el CSIS había recopilado sin una orden, semanas después de que la Corte Suprema de Canadá determinara en R. v. Bykovets que una dirección IP conlleva una expectativa razonable de privacidad.

Si eso cuadra con las autoridades de recopilación del CSIS, y si alguna vez se informó a los propietarios de los dispositivos desinfectados, sigue siendo una incógnita.

Fuente:
THN