La
ciberguerra o el
ciberespionaje entre países no existe, o eso insisten en defender la mayoría de los gobiernos, lo que sin duda significa una clara declaración de lo contrario. Desaprovechar un escenario de batalla tan cómodo para los ejércitos como la red es demasiado suculento como para no ser utilizado. Es mucho más barato enviar un
exploit que una dotación de tropas, con sus correspondientes aprovisionamientos y armamentos. Además, bien hecho, puede ser el comando más indetectable de todos, por lo que todo son ventajas... a priori.
Las desventajas son las mismas que se convierten en ventajas, pero desde el punto de vista enemigo. La mayoría de los sistemas defensivos pierden utilidad cuando no hay una objeto físico que golpear, sino un
payload que bloquear. Hay que cambiar el foco de los presupuestos. Hay que comprar algo menos de hierro y un poco más de talento e inteligencia que pueda ser utilizado tanto en ataque como en defensa.
Dicho esto, hay que decir que mientras que todo el mundo niega hacerlo, algunas organizaciones con
OTAN han encargado a expertos la realización de estudios sobre legislación internacional que puede ser aplicada a la ciberguerra, el ciberespionaje o el ciberterrorismo, dando como resultado el
Manual Tallinn, que dice cosas como que
es legal matar hackers civiles si participan en incidentes.
Hablar de
ciberguerra,
ciberespionaje o
ciberterrorismo se puede hacer sólo desde el punto de vista de los incidentes que han podido ser descubiertos, aunque en muchos de ellos no se ha podido determinar su autoría más allá de ciertas especulaciones. Sin embargo, todos los que han sido descubiertos han contado con alguna
ciberarma "cyberweapon", término que aunque a muchos suena mal hace referencia a un tipo de software malicioso creado con un único objetivo, y que lo normal es que solo tenga un uso, pues su ejecución provocará necesariamente su inutilidad.
Es decir, que una vez que se lance hay que darlo por perdido, tanto si tiene éxito como no, pues solo vale para un objetivo. Esta regla no es del todo cierta, pues si el enemigo no aprende del ataque, entonces podrá seguir siendo utilizado algo por lo que los países necesitan sus equipos de defensa cibernética: si no para defender, sí para aprender y no ser atacados dos veces de la misma forma.
Rusia vs Estonia
Dicho esto, como el primer incidente de ciberguerra en la modernidad actual se habla siempre del ataque de denegación de servicio distribuido
(D.D.O.S) que se lanzó contra
Estonia y que afectó a varios sitios web del gobierno.
Estonia acusó al gobierno de
Rusia de estar detrás de los ataques, que se produjeron tras la retirada de un memorial escultórico soviético del centro de la ciudad de
Tailin para ser recolocado, durante los días
del 25 de Abril al 5 de Mayo de 2007. Al final, solo algún joven como
Dmitri Galushkevich fue condenado por estos ataques.
China vs USA: Operación Aurora
La
Operacion Aurora se catalogó como un ataque de
ciberespionaje, aunque alguno alzó la voz para decir que fue un ataque de
China a
Estados Unidos, aunque realmente se produjo contra los servidores de
Google que se encontraban en aquel país. Se produjo durante el año
2009, cuando
Google detecto a finales de año que alguien había instalado un
backdoor en sus servidores para robar el código fuente de sus proyectos. Tras analizar en detalle el binario utilizado, se descubrió que utilizaban algoritmos de código de redundancia cíclica
CRC de los que sólo había documentación en chino y además pudieron descubrir varias rutas que hacían referencia a un programa llamado
Aurora, lo que dio nombre a toda la operación.
 |
| Figura 1: Código de Aurora donde se ve la ruta del proyecto |
Google abandonó
China, empezó a servir desde
Hong-Khong y se reunió con el presidente
Obama al que trasladaron sus sospechas de que el gobierno chino estaba detrás del ataque y llegaron a apuntar hasta a un centro de entrenamiento del gobierno. Se siguió el exploit que había sido utilizado - un
0day del motor
JavaScript de
Internet Explorer 6 - y se localizó a un descubridor en oriente medio que se lo había notificado a
Microsoft seis meses antes, pero se sospecha que alguien lo vendió al gobierno chino. No pasó nada más ante los medios y
Google recomendó a todos sus usuarios utilizar
Mac OS X o
Linux.
Los incidentes entre
China y
USA son muchos, y se sospecha que
atacantes chinos se colaron en los satélites de USA para interceptar comunicaciones durante los años
2007 y
2008. Lo más curioso se produjo quizá en
2011, donde
en un programa de la televisión China aparecía un software para hacer ciberataques en el que se escapó en una lista que se estaba atacando a una universidad americana, lo que levantó ampollas en los
USA.
China, por su parte también se quejó y denunció también en la televisión que estaba siendo atacada desde direcciones
IP pertenecientes a equipos de las redes del gobierno americano, mostrando los datos por la televisión para que todos lo vieran.
 |
| Figura 2: La dirección americana que "supuestamente" atacaba a China |
China VS Tibet
Mientras que por otro lado, los activistas políticos
pro-Tibet se encuentran desde hace mucho tiempo bajo una orda de ataques especialmente diseñados para
Mac OS X - el
Dalai Lama usa Mac OS X- donde mutan una y otra vez el malware para robar información de sus sistemas.
OSX/Imuler ha sido descubierto en diferentes formas, pero siempre con un gancho que pudiera atraer a miembros
pro-Tibet, como
una carta en su favor, o unas
fotografías de alguna reunión de ellos. Por supuesto, todos apuntan a
China como origen de los mismos.
 |
| Figura 3: El Dalali Lama usando Mac OS X |
Siria, Bahréin, Vietnam e Irán vs disidentes del régimen
No solo
China ataca a sus disidentes, los regímenes de
Siria, Bahréin, Vietnam e
Irán utilizan un buen número de herramientas para censurar las conexiones a Internet y vigilar a los ciudadanos contrarios a ellos, com se recoge en el informe de
Reporteros sin Fronteras titulado
Enemigos de Internet. Muchos de ellos utilizan técnicas de
ciberespionaje con herramientas como
FinFisher o
Trovicor, y si es necesario
tira abajo las conexiones de Internet, como ya hicieran primero Egipto y luego Siria. Todos los actos de este tipo, son recogidos en la web
Spy Files de Wikileaks.
USA & Israel vs Irán
Sin duda, el incidente de
ciberguerra más impactante a día de hoy sigue siendo
Stuxnet, el ataque que se produjo contra las centrales nucleares iranís y del que a día de hoy se sigue hablando en las noticias - que según parece
el gobierno americano busca saber quién dio datos a los medios de comunicación sobre que era una operación americana -. Fue descubierto en
Junio de 2010 y fue el responsable de acabar con las centrales nucleares iranís mediante la manipulación de los datos en el sistema
SCADA.
A día de hoy es ampliamente asumido que fue creado a medias por el gobierno de los
Estados Unidos de América e
Israel, para conseguir acabar con el programa de enriquecimiento de
Uranio del presidente de
Irán - no os perdáis las entrevistas del
documental de ciberguerra sobre este tema -. El gusano
Stuxnet se difundía utilizando varios
0days utilizando los pendrives como medio de infección, ya que los equipos de las centrales nucleares estaban aislados de
Internet.
Una vez infectado uno de los equipos de la red,
Stuxnet manipulaba valores en los sensores que alimentaban el sistema
SCADA, haciendo creer a los ingenieros que algo iba mal en la central, de tal forma que al final lanzaron las medidas de protección, anulando su funcionamiento.
 |
| Figura 4: Gráfico de infecciones encontradas de Stuxnet por países |
El gusano se les fue de las manos, y a dia de hoy todavía hay equipos infectados con él por todo el mundo. Una obra de ingeniería de seguridad ofensiva que causó por igual miedo y admiración por parte de los técnicos que incluso
le premiaron con un Pwnie Award.
¿? vs USA
Estados Unidos no solo ha sido puesto en el lado de los atacantes y él también se ha quejado de intrusiones de ciberataques, ya que según parece, en el año
2008 el
Pentágono fue seriamente comprometido por
un pendrive que se conectó a una máquina en el oriente medio, y que tuvo acceso a documentos confidenciales que fueron enviados a servidores bajo el control de agencias de inteligencia extranjeras.
USA vs Rusia
También en el año
2010 el gobierno de
USA deportó a varios espías rusos - que intercambió con
Rusia por otros espías americanos en
Suiza - por acusación de traición, de
los cuales uno de ellos había trabajado en Microsoft, lo que hizo que se revisaran todos los procedimientos y datos que podrían haber sido enviados a la otrora némesis en la guerra fría.
Rusia vs Georgia
Y es que a este juego parece que juegan todos y de todas las formas posibles, ya que en noviembre del
2012, la
República de Georgía cazó a un ciberespía ruso robando datos por medio de un exploit en un
PDF que fue utilizado en su propia contra para ser grabado y reconocido por la antaño
República Soviética, lo que volvió a dejar claro que parece que nadie parece resistirse al jugo que dan los ataques cibernéticos a las fuentes de información de las agencias de inteligencia nacionales.
 |
| Figura 5: El espía ruso grabado con su propia cam con su propio malware |
Ciberespionaje: Duqu, Flame, Red October y NetTraveler
En 2011 apareció
Duqu, un gusano cuasi idéntico a
Stuxnet pero con un objetivo distinto. Según
el análisis técnico del mismo,
Duqu fue creado para generar una base de datos de inteligencia mundial, robando datos de todos los equipos infectados. Según parece, tanto
Duqu como
Stuxnet fueron creados en el año
2007, pero se tardaron años en descubrir.
En el año
2012 apareció
Flame, un nuevo malware ligado muy de cerca según
Kaspersky a
Stuxnet debido a las similitudes en algunos módulos, que estuvo años infectando equipos por todo el mundo y recolectando datos masivamente. Utilizaba varias funciones de infección, y recolectaba
hasta los metadatos de las fotografías, pero lo más peculiar de
Flame fue tal vez el sistema de protección e infección que usó basándose
en un ataque criptográfico a los certificados que Microsoft utilizaba en las licencias de Terminal Services, lo que le dio cuasi carta blanca frente a la mayoría de las soluciones antimalware que no iban a eliminar un software firmado por
Microsoft. No se supo quién estaba detrás de él, pero se asume que es una evolución de la operación
Stuxnet y
Duqu. Por supuesto, también
Flame ganó un Pwnie Award al mejor mass ownage.
En Noviembre de 2012 saltó a la primera plana
Red October, un malware pensado para crear una infraestructura de robo de información a la carta. Con más de mil módulos distintos para buscar información, y enfocada a altas esferas, el malware tiene detalles de búsqueda de datos tan curiosos como las extensiones de documentos cifrados con
Acid Cryptofiler, un software que parece que utilizan en la
OTAN.
 |
| Figura 6: Operación Red October |
En Junio de este año, la operación de espionaje descubierta fuer
NetTraveler, un sistema similar a
Red October que estaba funcionando desde el año
2004, y que se dedicaba a robar datos de clientes para venderlos al mejor postor.
Ciberespionaje ciudadano en Egipto y USA: FinFisher, FinSpy y 12 Monkeys
Por supuesto, en temas de ciberespionaje hay que hablar de las empresas que venden software y servicios profesionales de infección vigilancia y control, como el caso del software comercial
FinFisher que fue encontrado en las dependencias del gobierno Egipcio - con su versión para dispositivos móvil
FinSpy - o todos los servicios de
ciberespionaje que ofrecía la empresa
HBGary al gobierno americano, como por ejemplo 12 monkeys. A día de hoy, los
paneles de control de FinFisher & FinSpy han sido localizados en 25 países.
Las filtraciones de Edward Snowden, el programa PRISM y el espionaje americano
Hay que dedicar un apartado especial a las filtraciones del
programa de espionaje PRISM filtradas a la prensa que mostraban cómo el gobierno de
USA estaba utilizando a las tecnológicas americanas para espiar a ciudadanos extranjeros. Rápidamente las
compañías negaron dar acceso a los servidores, aunque la propia ley les prohibe hablar de ello, así que la información estará siempre mediatizada. La última revelación fue que se armaron comitivas de
espionaje para eventos de espionaje del G8 y el G20 que tuvieron lugar en Londres, donde se espió a primeros ministros, como el ruso
Dmitry Medvedev.
No pretende ser este post más que una reflexión personal para dejar claro que cuando se dice eso de que la
ciberguerra, el
ciberespionaje o el
ciberterrorismo es cosa de mentira o exageraciones de los medios de comunicación es porque no han visto a un exploit manipular los grados de posicionamiento de los mapas de un avión en un proceso de aproximación para el aterrizaje... Yo sí, y desde entonces no duermo igual de bien ni me subo a los aviones con la misma calma.
Saludos Malignos!
