El ciberespacio se ha convertido en un nuevo terreno común común y peligroso: el de la colaboración entre los estados y los cibercriminales. En el contexto de las crisis geopolíticas actuales, los estados cibernéticos cooperan cada vez más con grupos que crean ransomware para causar daños a las redes comerciales occidentales. El impacto en estas organizaciones y, por lo tanto, en la economía, atiende a los intereses de estos países. La distinción entre motivaciones estatales y financieras se desvanece, al igual que la diferencia entre sus habilidades y sus equipos.
El Grupo de Investigación de la Unidad 42 de Palo Alto publicó un informe que revela la participación del grupo Jumpy Piscis en una campaña de ransomware utilizando nuevas tácticas hace unos meses. Este grupo parece actuar como un «corredor de acceso inicial» (IAB), obteniendo acceso inicial a las redes de las víctimas para compartirlo con el grupo de juego, motivado por ganancias financieras.
Según la Unidad 42, Jumpy Piscis está patrocinado por el estado de Corea del Norte y está vinculada a la Oficina General de Inteligencia del Ejército Popular de Corea del Norte. También conocido como Andariel y Onyx Sleet, este grupo ya ha estado involucrado en el ciber-sping, el delito cibernético financiero y los ataques por ransomware. También fue acusado por el Departamento de Justicia Americana por el uso de ransomware Maui, desarrollado a medida.
Este es el segundo caso importante de cooperación entre los actores estatales y los cibercriminales en poco tiempo. En agosto pasado, la CISA de la Cibernina Americana e Infraastury (Agencia Ciberseguridad e Infrash) ya advirtió en un comunicado que los actores iraníes cercanos al gobierno atacaron a las organizaciones occidentales, especialmente a los estadounidenses, tratando de penetrar en sus redes. El FBI confirmó los vínculos de estos grupos con el gobierno iraní. Una vez que se ha obtenido el acceso inicial, estos jugadores lo transmiten a grupos de ransomware que se encargan de las etapas finales del ataque, causando daños a las empresas específicas. El principio es: lo que es malo para Occidente es bueno para Irán.
Francia no se escapa de esta creciente amenaza. Un informe Mandiant, publicado en julio de 2024, destaca las actividades del Grupo Hackers, que se ha dirigido a una infraestructura crítica en ocho países, incluida Francia. Los sectores clave como la química, la defensa, la energía, el transporte y las telecomunicaciones han sido atacados. Mandiant sospecha que APT45 de estar vinculado al reconocimiento general de edificios (RGB), el Servicio de Inteligencia de Elite de Corea del Norte, y destaca su capacidad para desplegar ransomware como Shatteredglass y Maui, este último con establecimientos de salud notablemente específicos.
Convergencia de habilidades
El riesgo cibernético para las empresas occidentales también ha aumentado por otra razón. Hasta ahora, los ciberdelincuentes estatales se han considerado la élite del campo, beneficiándose de una capacitación de alto nivel, fondos significativos y una organización estructurada en los equipos. Su especialidad: el descubrimiento y explotación de vulnerabilidades de día cero de una manera dirigida y prolongada.
Sin embargo, las ganancias significativas generadas por el ransomware reequilibraron las fuerzas involucradas y les permitieron profesionalizar e invertir en sus capacidades. Según Chainalysis, la actividad del ransomware ha generado alrededor de $ 1 mil millones en 2023.
Los actores de ransomware han evolucionado en términos de organización y adoptaron un modelo de «asignación de un servicio». Las personas sin gran experiencia técnica ahora pueden comenzar a través de plataformas de ransomware como servicio (RAAS), ofreciendo kits de ataque reales listos para usar. Estas plataformas están financiadas por el intercambio de ganancias, generalmente el 80% para el afiliado y el 20% para el propietario de la plataforma RAAS.
Estas sumas han permitido a los proveedores de la plataforma RAAS gastar técnicas simples de ingeniería social para el acceso inicial a métodos más sofisticados: retro-ingeniería de soluciones de seguridad para desentrañarlas en unos días, o el uso automatizado de identificadores robados durante otros ataques. Muchas de estas plataformas también incorporan características de escape, lo que hace las verificaciones de seguridad de los terminales ineficaces. En consecuencia, el equipo y las capacidades de los actores estatales y privados se están acercando, lo que hace que la cooperación entre ellos sea más tangible: ahora se encuentran en pie igual en términos de medios y organización.
Para las empresas, esto significa una cosa: la probabilidad de ser víctima de un ataque exitoso ha aumentado aún más. Por lo tanto, es crucial centrarse en la resiliencia frente a los ataques en lugar de afirmar poder evitarlos a todos. Los procesos de restauración de datos y las capacidades de investigación de un ataque en progreso se han vuelto esenciales. Esto incluye los mecanismos de detección resistentes a la evidencia, las capacidades de respuesta a los incidentes que permiten una investigación rápida y la remediación de las amenazas, y la restauración de los procesos comerciales, así como la infraestructura con un impacto mínimo.
____________________________
Par Daniel de PriceDirector técnico del Sur de Europa, Benelux y países escandinavos, Cohesión
Leer también:
IA, ransomware y geopolítica estarán en el corazón de los problemas cibernéticos en 2025
Ransomware: la amenaza omnipresente de ciber-ciber-ciber-ciber-que presiona las organizaciones
La evolución del ransomware: una amenaza creciente …
Ransomware: mil millones de dólares disponibles para innovación penal
[
