El Reino Unido y la UE atribuyeron un ciberataque contra la red eléctrica de Polonia al servicio de inteligencia ruso FSB, alertando sobre el riesgo para infraestructuras críticas. Ante esto, emitieron recomendaciones técnicas de seguridad y aplicaron nuevas sanciones a individuos y entidades rusas vinculadas a estas operaciones. Asimismo, se advirtió sobre el uso de cámaras IP comprometidas por Rusia para espionaje militar en Europa.

El Reino Unido y la UE exigen una acción urgente de las organizaciones de infraestructuras críticas tras atribuir formalmente el ciberataque de diciembre de 2025 contra la red eléctrica de Polonia al Servicio Federal de Seguridad de Rusia.

La Oficina de Asuntos Exteriores, Mancomunidad y Desarrollo (FCDO) describió el ataque, llevado a cabo por la división Centro 16 del FSB, como "otro ejemplo de los intentos irresponsables del estado ruso de sembrar el caos en toda Europa".

Milosz Motyka, ministro de Energía de Polonia, confirmó el ataque a la red eléctrica del país en enero. Afirmó que los expertos sospechan que quien estuvo detrás intentó interrumpir la comunicación entre el hardware renovable y los operadores de distribución eléctrica.

El ataque no tuvo éxito finalmente, pero las sospechas recayeron rápidamente sobre Rusia.

Los atacantes intentaron desplegar el destructivo malware DynoWiper, un movimiento típicamente asociado con operaciones respaldadas por el estado ruso. Mandiant vinculó previamente los apagones de 2023 en Ucrania al despliegue del malware CaddyWiper por parte de Sandworm, mientras que el NCSC y sus aliados señalaron a la misma unidad de inteligencia militar por los ataques wiper WhisperGate al inicio de la invasión rusa.

Según informó la FCDO, el ataque en Polonia podría haber dejado a medio millón de polacos sin energía en pleno invierno, un ciberataque con consecuencias potencialmente letales.

Pedimos al NCSC que proporcionara más información sobre las pruebas que permitieron atribuir el ataque energético de Polonia al FSB de Rusia, pero se negó a comentar sobre asuntos operativos.

Tiempo de actuar

El NCSC del Reino Unido coescribió un aviso técnico, publicado el lunes, que destaca los últimos avances en las tácticas de Rusia, instando a los más expuestos a aplicar las mitigaciones recomendadas.

Afirmó que las organizaciones de los siguientes sectores corren el mayor riesgo de sufrir ciberataques del Centro 16: comunicaciones, base industrial de defensa, energía, servicios financieros, servicios e instalaciones gubernamentales (especialmente organizaciones a nivel estatal y local), y salud pública.

La mitigación principal recomendada por las agencias de inteligencia es desactivar SNMPv1 y SNMPv2, optando en su lugar por SNMPv3 con authPriv, que cuenta con autenticación fuerte y cifrado de datos, y desactivar Cisco Smart Install en todos los dispositivos.

Las tácticas comunes del Centro 16 implican la búsqueda de dispositivos que respondan con SNMPv1/2. Estos admiten cadenas de comunidad predeterminadas o fáciles de adivinar, que suelen abusarse para obtener acceso a dispositivos de red como routers, una técnica sobre la cual el NCSC y otros emitieron advertencias independientes en abril.

Los atacantes pueden abusar del acceso SNMP para obtener datos de configuración del dispositivo y transferirlos a un servidor bajo su control, lo que posteriormente puede facilitar un acceso persistente.

Aunque el escaneo de SNMP es la táctica principal descrita, el aviso también cubre la explotación de dispositivos Cisco, incluidos aquellos con Smart Install habilitado.

Los defensores que examinen el documento notarán tácticas, técnicas y procedimientos (TTP) superpuestos entre el Centro 16 y otros grupos de amenazas alineados con Rusia, escribieron los socios de inteligencia.

Jonathon Ellison, director de resiliencia nacional del NCSC, dijo: "El NCSC, junto con nuestros socios internacionales, ha expuesto repetidamente las herramientas avanzadas y las campañas coordinadas de los actores cibernéticos rusos que buscan persistentemente explotar cualquier vulnerabilidad que encuentren.

El aviso conjunto de hoy proporciona direcciones decisivas y accionables de la comunidad de seguridad global que los defensores de redes deben implementar para protegerse contra las operaciones de Inteligencia rusa y asegurar la infraestructura crítica del Reino Unido.

Animaría encarecidamente a todas las organizaciones, especialmente aquellas encargadas de las redes críticas del Reino Unido, a adoptar estas medidas recomendadas inmediatamente, reduciendo así el riesgo de compromiso".

Nuevas sanciones

El Reino Unido y la UE han añadido una serie de individuos y entidades rusas a sus listas de sanciones, incluidos funcionarios del GRU, ciberdelincuentes y hacktivistas.

También aparecen miembros del medio pro-Kremlin Rybar, debido a sus narrativas falsas sobre Ucrania y la presunta interferencia en las elecciones europeas.

Las designaciones más destacadas conciernen a Vyacheslav Stafeyev, Ivan Senin e Ivan Kasyanenko, tres líderes del GRU acusados de orquestar operaciones cibernéticas e híbridas. También se alega que trabajaron con ciberdelincuentes y una empresa llamada IMPULS con el fin de reclutar especialistas en ciberseguridad de universidades y academias de toda Rusia.

La secretaria de Asuntos Exteriores del Reino Unido, Yvette Cooper, dijo: "Estas sanciones golpean el núcleo de las redes cibercriminales que sostienen la agresión del estado ruso, y el Reino Unido y la UE envían un mensaje claro de que Rusia no puede esconderse detrás del uso de estos grupos proxy.

Desde dirigir criminales para atacar empresas, hasta golpear la red energética de Polonia en lo profundo del invierno, el estado ruso está cayendo a nuevos mínimos en sus intentos de socavar la seguridad europea.

Junto con nuestros socios, Gran Bretaña seguirá denunciando este comportamiento, reforzando nuestra resiliencia y respondiendo a la amenaza híbrida planteada por el estado ruso. Esto no nos detendrá en nuestro apoyo a Ucrania".

También se impusieron sanciones contra tres individuos acusados de ser operadores de Lumma Stealer, una de las principales cepas de malware infostealer que desempeñan un papel significativo en la economía del cibercrimen.

Los datos de la Agencia Nacional contra el Crimen sugieren que solo en el Reino Unido, al menos 2.100 víctimas fueron identificadas como infectadas durante seis meses. El Reino Unido confirmó que el estado ruso ha utilizado Lumma Stealer para recopilar credenciales robadas y lanzar operaciones de ciberespionaje contra objetivos globales.

Las 24 sanciones reveladas el lunes se suman a los más de 3.400 individuos y entidades que han sido designados por sus roles en el apoyo a los esfuerzos de guerra de Rusia.

No olvide esas cámaras

Las advertencias y sanciones internacionales coordinadas llegan días después de que las autoridades holandesas emitieran su propia alerta sobre unidades de espionaje rusas que apuntan a cámaras conectadas a internet para recopilar inteligencia sobre rutas logísticas militares.

Su aviso independiente aquí advirtió que al menos una unidad de inteligencia rusa lleva a cabo operaciones dirigidas a los Países Bajos y otros miembros de la OTAN, utilizando imágenes de cámaras IP para rastrear rutas logísticas militares y el transporte de material, y para mapear infraestructuras como puentes y carreteras.

Los servicios de inteligencia holandeses añadieron que Rusia utiliza software de reconocimiento de imágenes para detectar vehículos militares, rutas de transporte, envíos a Ucrania y ubicaciones de soldados ucranianos.

El aviso continuó diciendo que la inteligencia holandesa sugiere que el uso por parte de Rusia de cámaras IP comprometidas y sus imágenes ha aumentado sistemáticamente recientemente y se ha convertido en una parte normal de su modo de operar.

Afirmó que el abuso de contraseñas predeterminadas era la forma más común en que los espías rusos obtenían acceso a las cámaras, aunque las actualizaciones de seguridad más recientes rara vez se aplicaban, abriendo vulnerabilidades para explotar cuando el uso de contraseñas adivinables no funcionaba.

Fuente:
TheRegister