Cómo los ciberataques podrían poner en peligro la infraestructura crítica

A las 11:42 pm, los ojos de Britt se abrieron de golpe. Se sentó en la cama, totalmente despierta, con el corazón latiendo rápido. Sirenas gritaban. Sus vecinos gritaron y se movieron rápidamente alrededor del patio de su moderno complejo de apartamentos en Dallas. La nativa del Medio Oeste estaba acostumbrada a escuchar las sirenas de tormenta. Las sirenas de Dallas eran diferentes. Y más fuertes. La estridente advertencia de tono único provenía desde todas las direcciones.

"En un tornado, la sirena se apagará cuando pase la tormenta. Estas eran mucho más fuertes y sonaron durante mucho tiempo. No teníamos idea de lo que pasaba, pero sabíamos que no era un tornado. Había un hombre parado cerca de mi ventana gritando: ¡Estamos en guerra! ¡La cosa se está poniendo fea!" Por un momento fugaz, dijo: "Pensé que podría tener razón".

El 7 de abril de 2017, un ataque informático provocó que 156 sirenas de emergencia en Dallas, una ciudad de 1.2 millones de personas, sonaran al unísono durante 81 minutos. El incidente sirve como una llamada de atención a organizaciones en todas partes de que las ciberarmas podrían ser utilizadas en su infraestructura para hacer una declaración.

"Técnicamente, cada sirena sonó durante 90 segundos, 15 veces. Hubo mucha confusión", dijo Richard Hill, oficial de información pública de Dallas, porque no había tormentas en la región. "Recibimos cerca de 4,000 llamadas al 911. El sistema estaba casi abrumado".

El episodio de las sirenas de Dallas será cada vez más común, y las empresas y organizaciones públicas son objetivos. Los directores de tecnología (CTO) tendrán que adaptarse a un panorama de seguridad cada vez más volátil impulsado por nuevas amenazas de Internet de las Cosas, malware e inteligencia artificial. Considere: Un ataque de ransomware que afectó al Servicio Nacional de Salud (NHS) del Reino Unido derribó los sistemas del hospital en un principio y luego se extendió a nivel global.

En diciembre de 2015, como demostración de fuerza, los ataques cibernéticos realizados por hackers vinculados a Rusia causaron la caída de una gran parte de la red eléctrica de Ucrania. "El primer ataque a la red eléctrica de Ucrania se debió, como tantas veces en los ataques cibernéticos, al factor humano", escribió Charles McLellan de ZDNet. "La técnica de phishing y la ingeniería social fueron utilizadas para ingresar a la red. Una vez dentro, los atacantes explotaron el hecho de que los sistemas operativos, los que controlaban la red eléctrica, estaban conectados a sistemas de TI regulares".

Son seguros los certificados SSL autofirmados

Aún está por verse si los CTO y las empresas se dan cuenta de que ya están en medio de una ciberguerra. Pero está claro que los atacantes pueden comprometer su empresa para hacer una declaración, su red podría ser utilizada como una área de preparación para un ataque más grande y el malware probablemente utilizará inteligencia artificial en el futuro cercano. Las empresas tendrán que ser tan vigilantes como los estados nacionales cuando se trata de ataques. Esta historia proporciona una perspectiva sobre el panorama de las ciberarmas en evolución, cómo la inteligencia artificial dará forma al futuro de la seguridad y las mejores prácticas de defensa.

El sistema de advertencia al aire libre de Dallas, como la mayoría de los municipios en Estados Unidos, es controlado por radio y se activa cuando se acerca una tormenta mediante una señal enviada desde el Servicio Meteorológico Nacional. Por razones de seguridad, la ciudad de Dallas no quiso discutir los detalles de cómo se comprometió el sistema. Pero la oficial de información pública de la ciudad, Monica Cordova, dijo: "creemos que [el ataque] provino de la zona de Dallas".

La policía de Dallas está trabajando con el FBI y "agencias especiales", dijo Cordova, para examinar "cómo [los sistemas de emergencia] se interconectan con otros sistemas en la ciudad y validar lo que creemos que sucedió. La investigación también examinará el sistema de agua, la red de radio, el 911 y 311, la despacho de policía y bomberos, el sistema de advertencia de inundaciones y los sistemas financieros".

Podría tomar meses para que los líderes de la ciudad revelen lo que muchos expertos en seguridad ya saben: Los ataques cibernéticos contra infraestructuras críticas obsoletas son tan fáciles de ejecutar como las apuestas son altas. Y el arsenal de ciberarmas, bombardes de malware diseñados para causar interrupción, daño y destrucción, está creciendo rápidamente.

"A medida que la tecnología se integra cada vez más en la forma en que funciona nuestra sociedad", dijo Chris Pogue, CISO de la firma de ciberseguridad Nuix, "aumenta también el potencial de los ataques cibernéticos que tienen un impacto cinético".

Pogue puede mencionar una larga lista de ataques contra infraestructuras críticas que auguran un futuro en el que las empresas, las agencias gubernamentales y los consumidores sean víctimas de ciberarmas. Durante el ataque al Romantik Seehotel Jaegerwirt, el hotel perdió la capacidad de generar nuevas tarjetas llave; el acceso remoto y el control de un Jeep Cherokee puso en peligro a los conductores; las cámaras de CCTV fueron deshabilitadas antes de la inauguración del presidente Trump. Y, "la última iteración de este tipo de ataques ocurrieron [en abril]", dijo Pogue, "cuando los atacantes activaron las sirenas de emergencia en Dallas".

Cómo dar privilegios de sudo a usuarios en Linux

Nadie murió en el ciberataque de Dallas, pero la ciudad fue afectada por algo incluso más destructivo que una tormenta. "Los tornados son dañinos. Se llevan vidas y destruyen todo a su paso", dijo un ex hacker y actual analista senior de una pequeña pero respetada firma de ciberseguridad en la Costa Este. "Pero son localizados. El daño es tremendo, pero se encuentra en una región geográfica".

Las sirenas de Dallas fueron una advertencia, dijo, y una metáfora perfecta para la próxima ciber tormenta. "Con un ciberataque, la amenaza es existencial y el camino de destrucción es ilimitado".

Cuando todo se convierte en una ciberarma

Una semana después del incidente de Dallas, a las 11:21 am UTC y a 10,895 kilómetros de distancia, un misil balístico norcoreano fue lanzado y explotó momentos después del lanzamiento. La prueba de abril de 2017 fue la última de una serie de lanzamientos fallidos de misiles norcoreanos en los últimos tiempos.

Reportes de CBS News y The New York Times indican que las ciberarmas fabricadas en Estados Unidos podrían haber sido responsables de los cohetes fallidos. "Suponiendo que las baterías de misiles funcionen con un sistema de lanzamiento basado en computadora, lo cual es cierto", especuló Pogue, "un atacante podría hacer lo que permita el sistema: cambiar la mezcla de combustible, el tiempo en la plataforma de lanzamiento después del encendido del motor pero antes del lanzamiento, el destino del objetivo, la trayectoria y el armado y desarmado de la carga útil".

Un especialista en armas digitales del gobierno anterior dijo: "El fracaso sistemático de Corea del Norte para desarrollar un programa de misiles balísticos en funcionamiento se debe probablemente a los esfuerzos de espionaje de Estados Unidos, incluyendo las ciberarmas ofensivas. Las ciberarmas existen, y de hecho, son armas. Contienen cargas útiles personalizadas diseñadas para un objetivo específico. La personalización casi siempre es parte de un proceso que incluye activos humanos, espionaje tradicional y desarrollo técnico".

Estas armas requieren una importante inversión de capital, dijo el especialista, y llevan mucho tiempo desarrollarlas. Los equipos de desarrollo pueden ser bastante pequeños, pero se requiere una especialización alta. "El código personalizado es utilizado por la mayoría de los gobiernos y generalmente está diseñado para proteger el interés nacional. Podrían ser preocupantes en abstracto, pero hablando prácticamente, estaría mucho más preocupado por el malware y las herramientas de espionaje que por las llamadas ciberarmas".

10 elementos clave para garantizar la seguridad y estabilidad en un entorno de producción

El ataque de Dallas fue tan rudimentario como sofisticado fue el ataque norcoreano. Ambos probablemente involucraron ciberarmas, y la diferencia de sofisticación entre los dos ataques refleja la evolución del hacking y de las armas digitales. Lo que hace que estos ataques sean únicos es que, a diferencia de los hackeos convencionales, se dirigieron a infraestructuras críticas y causaron daño físico.

El ejemplo más famoso de una ciberarma es Stuxnet, un gusano desarrollado según se informa como una operación conjunta entre Estados Unidos e Israel y destinado a disuadir el programa nuclear de Irán. Descubierto por el investigador de seguridad Sergey Ulasen en 2010, el malware se dirigió a sistemas de control industrial de Siemens utilizando un rootkit programable de controlador lógico programable. El gusano se dirigió, espió y finalmente dañó centrifugadoras nucleares en la instalación nuclear de Natanz en Irán. En el proceso, se proliferó ampliamente, infectando miles de máquinas. El código personalizado, que pudo haber costado millones de dólares desarrollar, es ahora de código abierto.

"Me gustaría aclarar el término 'ciberarma'", dijo el hacker francés x0rz. "Cualquier cosa puede ser una ciberarma hoy en día. Con habilidades de programación muy básicas, puedes convertir en una arma un documento de Office de Word". Chateando en una aplicación de mensajería encriptada desde un apartamento en París el autoproclamado "probador de penetración" de veintipocos entregó la definición del hacker de municiones digitales y código malicioso.

"Por ejemplo, tienes las herramientas de operaciones de red computacional, como los implantes de [malware]". x0rz dijo. "Esto también podría describirse como puertas traseras. A menudo, son guiones que ayudan a exfiltrar datos. Y luego tienes los exploits mismos que [aprovechan] alguna vulnerabilidad, como un documento PDF deformado que disparará código sin ser detectado en tu computadora.

"La primera categoría es solo código. Básicamente requerirá personal y un poco de conocimiento avanzado de sistemas operativos para construirlo. Si eres un gobierno, podrías contratar a desarrolladores para construir esas herramientas. Es bastante fácil y hay muchas técnicas conocidas para bypass el software antivirus", explicó x0rz.

Qué es WannaCry La guía completa sobre el ransomware más devastador y cómo protegerse.

Encontrar y aprovechar errores en el software existente, explicó, es mucho más difícil. Existen sistemas de mitigación en cada nivel de software, desde ASLR y DEP hasta cookies de pila. "Se vuelve más difícil explotar un desbordamiento de búfer simple. Por eso el costo de los pros de día cero (Zero-day) ha aumentado mucho en la última década. A medida que la mitigación de explotación aumenta, debería ser más difícil encontrar y, por lo tanto, más caros, los 0days utilizables", dijo.

"La tecnología ofensiva y la diplomacia son complicadas y están tan interconectadas que me preocupa que alguien haga algo accidentalmente y ocurra un desastre que desencadene involuntariamente una ciberguerra cinética", dijo Sergio Caltagirone, director de inteligencia de amenazas y análisis en Dragos, una firma de ciberseguridad especializada en seguridad empresarial. "Eso es lo que me quita el sueño."

Definir una ciberarma, según dijo, requiere examinar la intención del actor y el efecto del ataque. "La definición técnica es menos importante que cómo se utiliza el código malicioso y por quién". Caltagirone se preocupa por los posibles accidentes o que el código malicioso se filtre a un actor no deseado. A diferencia de las armas nucleares, sin embargo, "el código se propaga muy rápido y es fácil de construir o robar", explicó. "Cualquier persona con una computadora portátil, algunas habilidades de programación y unas horas libres puede crear una 'ciberarma'".

El 12 de mayo de 2017, un ataque de ransomware dirigido a máquinas que ejecutan versiones antiguas del sistema operativo Windows afectó al Servicio Nacional de Salud (NHS) de Gran Bretaña. El gusano evolucionó rápidamente y, según CBS News, infectó a más de 100,000 organizaciones en 150 países con variantes del virus WannaCry. Las víctimas del "mayor ataque de extorsión jamás registrado" también incluyen empresas que ejecutan versiones antiguas de Windows, universidades chinas y redes de transporte. El ransomware toma las máquinas y cifra todos los datos locales. Si no se paga el rescate de $300 en Bitcoin en 24 horas, los datos se borran permanentemente.

En una entrevista con CBS News, el CEO de Symantec, Gregory Clark, explicó: "En este caso, hay un fragmento de la tecnología que se asoció con Lazarus", un equipo de hacking a menudo vinculado a Corea del Norte. Empresas de seguridad como Symantec, Rapid7 y FireEye han descubierto enlaces similares y sugieren que los exploits utilizados en WannaCry fueron desarrollados primero por la NSA.

Los responsables de formular políticas que han controlado estrictamente el acceso a armas nucleares durante el último siglo, dijo Caltagirone, están comenzando a darse cuenta de que las armas digitales representan la misma o mayor amenaza. "No me preocupa que personas bien intencionadas diseñen armas. Me preocupa que Kazajstán, Corea del Norte y tal vez Irán entreguen poderosas herramientas de hacking a un agente renegado".

Domina la autenticación SSH con estos trucos infalibles

Según las Naciones Unidas, cualquier software desplegado con fines diplomáticos, militares o de inteligencia puede ser una ciberarma. Los actores que utilizan ciberarmas pueden ser estados, actores no estatales y actores renegados. Los expertos en seguridad de la ONU dicen que las ciberarmas pueden adoptar la forma de código personalizado, virus comunes e incluso propaganda. "Las [armas digitales] dependen tanto del postureo geopolítico como de la tecnología. Cualquier tecnología ofensiva con una carga útil personalizada diseñada para un objetivo específico puede ser una ciberarma", dijo un experto de la ONU en aplicación de la ley.

La distinción entre ciberarmas, malware y herramientas de hacking es borrosa y es probable que no exista en el futuro, dijo Brett Thorson, de Dtex Systems. Las herramientas de hacking como Nmap y Metasploit "son las herramientas que alguien usaría para obtener acceso a un sistema. El malware, por otro lado, eliminará la intervención humana en el ataque. A menudo, [la automatización] se puede pre-empaquetar".

El entorno de ciberarmas no tiene la forma de un almacén de municiones estándar con bombas y armas en él, dijo Thorson. "Es fácil juntar esas dos palabras: 'ciber' y 'arma', y hacer que suene genial, pero no hay una [definición fácil]. Usar una ciberarma en una situación ofensiva, explicó Thorson, "requiere habilidad, trabajo y esfuerzo a largo plazo".

El ex oficial de la CIA, Jack Rice, está de acuerdo. "Por supuesto, los países están desarrollando 'armas' con cargas útiles personalizadas diseñadas para un objetivo específico. Suena aterrador hasta que consideras el esfuerzo de producción necesario para crear armas personalizadas. El público, las empresas o los gobiernos deberían preocuparse menos por estas armas y más por todo lo demás que existe, incluyendo el malware, los hackers y el gobierno".

El verdadero costo de desarrollar un arma como Stuxnet está oculto en los activos humanos. "Se necesitan personas para robar las claves de encriptación que protegen los sistemas de hardware como los controladores JMicron y Realtek utilizados en la instalación nuclear de Natanz", dijo Rice, "o los controladores utilizados en los misiles norcoreanos".

Lo que tiene una gran escala, dijo Rice, son las herramientas modernas desarrolladas por hackers y agencias gubernamentales que apuntan a dispositivos móviles, el Internet de las Cosas y los sistemas de control industrial obsoletos que se encuentran en los municipios de todo el país. El botnet Mirai y el archivo Vault 7 de la CIA preocupan más a Rice que las armas dirigidas a Irán y Corea del Norte. "Cuando las poderosas herramientas pueden ser modificadas y distribuidas por agentes criminales y actores no estatales de manera masiva", dijo, "se vuelve mucho más difícil determinar qué es exactamente una ciberarma y cómo podría ser utilizada".

Protege tu identidad en Facebook: ¡Nuevas herramientas para evitar el robo de tus fotos de perfil!

Las posturas geopolíticas son señales que ayudan a comprender quién está hackeando a quién y con qué propósito, dijo Rice. Señala los spambots, la supuesta intromisión de Rusia en las elecciones de Estados Unidos en 2016 y la filtración de datos en vísperas de las elecciones presidenciales francesas. Ninguno de estos "hackeos" fue técnicamente sofisticado, dijo, pero resultaron en desestabilización democrática y cambiaron el panorama geopolítico.

"Dentro de las comunidades de inteligencia, Estados Unidos e Israel son respetados por su habilidad técnica", explicó Rice, "así que no fue una sorpresa real cuando se filtraron herramientas de espionaje [como Vault 7]. Por otro lado, Rusia ha sido un paraíso para el spam y la piratería durante décadas. Es creíble que el gobierno ruso podría apoyar a creadores de robots y hackers y utilizar esos 'activos' para lograr objetivos políticos".

Los avances en el malware de IoT, en particular, hacen que los expertos en ciberseguridad, como Joe Saunders, CEO de RunSafe Security, se pongan especialmente nerviosos. "Ya sea robar contraseñas, exfiltrar datos sensibles, interrumpir las señales de tráfico, tomar el control de las operaciones de un vehículo o bloquear dispositivos para pedir rescate, los dispositivos de IoT son extremadamente vulnerables a los ciberataques", dijo Saunders. "El problema subyacente es que el sistema operativo que se ejecuta en estos dispositivos a menudo tiene vulnerabilidades de seguridad. Además, el código de software mal escrito permite que los hackers tomen el control de un dispositivo y lo usen para realizar acciones maliciosas".

En 2016, los hackers se apoderaron de dispositivos de IoT y dejaron fuera de servicio una parte importante de Internet en la Costa Este. "Mirai explotó versiones desactualizadas del sistema operativo Linux, un problema común en muchos dispositivos", explicó Saunders. "Y convirtieron los dispositivos IoT en una red de bots que inundaban los sitios web con solicitudes. En el ataque de 2016, un proveedor común a través de cientos de sitios web fue atacado con un ataque de denegación de servicio distribuido."

Todos los dispositivos en red son vulnerables, dijo, pero los sistemas SCADA (supervisión y adquisición de datos) utilizados para gestionar plantas de energía, sistemas de refrigeración en grandes centros de datos y sistemas de control industrial obsoletos que se encuentran dentro de empresas y agencias gubernamentales son especialmente vulnerables. "Imagínese los sensores en sistemas de instrumentación o plataformas petrolíferas siendo manipulados, o considere el hackeo de una represa de agua en el estado de Nueva York hace un par de años, o el cierre del sistema eléctrico en Ucrania. Solíamos ajustar los sistemas de control a mano con manivelas o palancas en el pasado. Estos sistemas ahora se gestionan centralmente a través de sistemas de software que se comunican con dispositivos remotos".

Aquí viene la inteligencia artificial

El malwares personalizados, augmentado con automatización e inteligencia artificial, preocupa a la mayoría de los expertos en defensa cibernética. "Es muy probable que la próxima ciberarma tipo Stuxnet ya haya sido construida. Muchas y muchas de ellas", dijo Pogue. "Solo están esperando ser desplegadas. ¿Dónde? ¿Qué es controlado por computadoras? Instalaciones de energía nuclear, represas, baterías de misiles, control de tráfico aéreo y sistemas de alcantarillado serán [objetivos]".

10 consejos para mejorar la administración de cuentas y contraseñas

A gran escala, dijo el científico en jefe de la firma de predicción financiera Aidyia Holdings, Ben Goertzel, la inteligencia artificial se utilizará para encontrar exploits zero-day en sistemas IoT y de control industrial que actualmente tardan meses o años en desarrollar para equipos de hackers. "Parece obvio, pero los algoritmos inteligentes trabajan mucho más rápido que los humanos y encontrar exploits será una tarea trivial", dijo Goertzel.

Según aumentan las inversiones en inteligencia artificial, dijo, también crece el problema de control AI. "Mis colegas y muchos investigadores [de AI] quieren utilizar el aprendizaje automático para mejorar las condiciones humanas. Pero si los hackers pueden robar o tener acceso a la misma tecnología de AI [y aprendizaje automático], usarán esa tecnología con las mismas motivaciones que lo hacen hoy. Un hackeo de Windows parecerá anticuado cuando el mercado de valores, la red eléctrica o la generación de energía nuclear sean el objetivo".

La inteligencia artificial también hará que los ciberataques poco sofisticados, como el spearfishing, sean más efectivos. "Tomemos como ejemplo el phishing", escribió Danny Palmer de ZDNet. "Es el método más simple de ciberataque disponible, y hay esquemas en la web oscura que ponen todas las herramientas necesarias para hacer phishing al alcance de cualquiera. Es simplemente cuestión de tomar una dirección de correo electrónico, rastrear algunos datos personales de dominio público para hacer que el correo electrónico de phishing parezca convincente y luego enviarlo a la víctima y esperar a que caigan". Eso podría volverse aún más efectivo si se agrega inteligencia artificial.

Entonces, ¿y ahora qué?

La inteligencia artificial también es parte de la solución, y las firmas de seguridad utilizan el aprendizaje automático para ayudar a las empresas a descubrir amenazas ocultas y prevenir ataques. "La inteligencia artificial será el 'sistema inmunológico empresarial' contra los ciberataques", dijo Justin Fier, director de inteligencia y análisis cibernético en la firma de seguridad Darktrace. "Puede tomar semanas o meses para que una empresa se entere y luego parcheé agujeros de seguridad. Pero los módulos discretos de IA se pueden instalar en una red empresarial, aprender sobre la red específica y obtener una 'sensación de sí mismo' que le ayuda a identificar rápidamente vectores de amenazas únicos".

Debido a que no hay una táctica de defensa única que sirva para todas las organizaciones, Anthony Greico, director senior y oficial de estrategia de confianza de Cisco, alienta un "enfoque integral" para la ciberdefensa. "Puedes pensar en todas las personas malintencionadas que están tras de ti y nunca encuentra una solución. Pero al pensar en ello desde una perspectiva sistémica ... puedes realmente pensar en cómo hacer que tu empresa sea resistente".

Cómo protegerse contra el malware sin archivos

Greico identificó cuatro pasos que las organizaciones y las empresas, independientemente de su tamaño, deben seguir para construir una postura adecuada de ciberdefensa. En primer lugar, dijo, identifica lo que te preocupa y enumera tus activos críticos. "Las personas, los humanos, son tu mejor línea de defensa. Habla con tu equipo. Identifica tus activos críticos y haz preguntas simples sobre tu empresa", dijo.

A continuación, "pregúntate a ti mismo y a tu equipo: ¿cuáles son las funciones de procesamiento de datos más importantes que son críticas para mi negocio? Luego puedes comenzar a construir un sistema de procesos, tecnologías y educación para asegurarte de proteger esos [activos críticos]".

El mayor desafío para muchas empresas es poner en marcha la detección de defensa. "No puedes simplemente implementar [políticas] de manera proactiva y luego olvidarte de ellas. Debes continuar buscando actividad adversarial activa ... para que puedas detectar y responder a un ataque".

Finalmente, según dijo Greico, cuando un ataque tiene éxito y lo has detectado, "debes enfocarte en la recuperación. En última instancia, la 'resistencia' se trata de volver a tu negocio ... y estar operativo frente a un ciberataque. Cuando sigues esos pasos con tu negocio, realmente comienzas a delimitar el riesgo real y las [amenazas] reales".

En el incidente de las sirenas de Dallas, alguien descubrió la señal de frecuencia de radio utilizada para activar las sirenas, dijo Thorson de Dtex. "Hace diez años, habría sido una cantidad significativa de trabajo descubrir la frecuencia correcta de transmisión así como cualquier señal codificada dentro de esa transmisión. Sin embargo, con radios definidas por software y computadoras capaces de monitorear grandes porciones del espectro de radiofrecuencia, se vuelve mucho más fácil [hackear]".

Cómo copiar manualmente una clave SSH en el servidor y cliente

Peligro acecha, advirtió, "en un sistema obsoleto al que a nadie le importa, fácilmente hackeado a través del hardware y software fácilmente obtenible".

La ciudad de Dallas respondió al ataque cerrando vectores de ataque y reevaluando los sistemas internos. Pogue dijo que tuvieron suerte de que nadie resultara herido, esta vez. El próximo ataque podría tener consecuencias graves. A medida que más y más sistemas se digitalizan, los vectores de amenaza aumentan exponencialmente.

"Odio ser un agorero", dijo, "pero hay un gran ataque cinético en el horizonte. Ya casi llega".

Crédito de la imagen de arriba: Getty / Ed Jones

La amenaza cibernética más grande para tu empresa podría estar dentro de ella

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Seguridad, allí encontraras muchos artículos similares a Cómo los ciberataques podrían poner en peligro la infraestructura crítica , tenemos lo ultimo en tecnología 2023.