Cómo defenderse de los hackers: quiénes son los actores de amenazas que ponen en peligro nuestros datos

Hackers, hackers estatales y ciberdelincuentes: los grupos más populares y sus organizaciones. Los ciberatacantes han evolucionado hasta convertirse en auténticas empresas criminales; la primera forma de defenderse de los hackers es tomar conciencia de esto y saber quiénes son los actores que amenazan nuestros datos y qué hacen.

Conoce a tu enemigo

En el famoso manual “El arte de la guerra”, escrito por el general y filósofo chino Sun Tzu hace más de 2.500 años, encontramos un consejo fundamental para defendernos de los hackers: “Conoce al enemigo y conócete a ti mismo; en cien batallas nunca estarás en peligro”.

Debemos tener siempre presente que conocer a nuestro enemigo también resulta esencial en la ciberseguridad para comprender las TTP (Técnicas, Tácticas y Procedimientos) que utilizarán cuando intenten atacarnos.

Y estos enemigos, los llamados actores de amenazas, evolucionan continuamente en sus técnicas, que se vuelven cada día más eficientes y sofisticadas.

Las herramientas y medidas de defensa deben mantener el ritmo y evolucionar también: no debemos dejarnos engañar pensando que las medidas que implementamos hace tan solo unos años seguirán siendo suficientes en 2022.

Por este motivo, FlashStart ha creado un sistema avanzado que protege frente a una amplia gama de amenazas y evita el acceso a sitios web maliciosos, que, como veremos, pueden representar el origen de los ataques.

Los hackers ya no son como antes

Érase una vez unos hackers con su espíritu despreocupado.
La palabra “hacker” proviene del verbo “to hack”, que significa cortar, trocear, desmenuzar, crear una abertura.

Partiendo de su significado original, la palabra fue posteriormente adoptada por el Instituto Tecnológico de Massachusetts (MIT) en Boston en los años 50 para indicar simplemente una violación de las normas internas: desafiar las prohibiciones para acceder a los túneles subterráneos como atajos entre los departamentos del campus (de hecho, se hablaba de “tunnel hacking”).

Aquí es donde nació la ética hacker, es decir, una especie de “manifiesto” que no podía dejar de atraer al espíritu libertario de aquellos años.
Ayer, como hoy, hacer hacking significa “ver más allá”, explorar, manipular, entender cómo se hacen las cosas dentro de una estructura para encontrar defectos (“bugs”) y mejorarla, a través de la intuición, el ingenio y el arte.

Por eso el concepto de hacking no debería entenderse solo con una connotación negativa, sino que es necesario hacer algunas distinciones entre las diferentes categorías de hackers:

• hackers de sombrero blanco o “hackers éticos”: son los buenos, aquellos que utilizan sus competencias informáticas de manera legal para descubrir vulnerabilidades de software (por ejemplo, con un test de penetración) y notified-las —¡a veces incluso a cambio de un pago!— a la empresa productora.
• hackers de sombrero negro o “hackers inmorales”: utilizan sus conocimientos con fines delictivos para obtener un beneficio ilícito.

Lo que queremos destacar aquí es cómo ha cambiado la figura del hacker a lo largo de los años, especialmente en relación con el cibercrimen y, por lo tanto, con los hackers de sombrero negro.
Todavía hoy, en el imaginario colectivo y en todas las películas sobre el tema, el hacker se representa como un joven, con una sudadera oscura con capucha, inclinado sobre su teclado: el clásico “nerd”.

Debemos olvidarnos de esta imagen, ¡porque ya no existe!
Los hackers “lobos solitarios” que conocimos en los albores de la informática de masas, los “nerds tecnológicos” que hackeaban por diversión o movidos por instintos rebeldes, aquellos que nos enviaban virus ingenuos más que dañinos, han sido sustituidos hoy por auténticas organizaciones.

Su objetivo es ganar dinero y robar datos, y para alcanzar sus objetivos delictivos llevan a cabo actividades de Investigación y Desarrollo, igual que una empresa normal.

Estas empresas incluyen a muchas personas, cada una con roles y funciones precisos, y se han dotado de una estructura organizativa y un modelo de negocio propios de empresas reales.

Lo que necesitan, más que nada, son las habilidades tecnológicas para construir y mantener malware de alto nivel; por lo tanto, el hacker con sudadera, si es que todavía existe, es solo una pieza de una cadena de producción mucho más compleja.

Los ataques requieren además que los hackers conozcan a fondo la interfaz o la aplicación que quieren atacar y dominen perfectamente el idioma del sujeto atacado. Además, deberán ser capaces de preparar ataques (generalmente a través de correos electrónicos o mensajes) que resulten creíbles y atractivos para el receptor: por eso “Cybercrime Ltd” ahora también incluye a un psicólogo en su equipo.

Por esta razón, los ataques que recibimos a través de correos electrónicos de phishing son cada vez menos rudimentarios y, de hecho, a menudo resultan difíciles de distinguir de los reales.

La leyenda del “italiano malvado” ya no es creíble.

Además, para que cada ataque tenga éxito, se necesita una red capaz de blanquear y limpiar las cantidades de dinero robadas, de manera que resulten imposibles de rastrear. Y así, los expertos financieros forman parte del equipo.

Y, por último, ¡también los ciberdelincuentes han descubierto la importancia de la comunicación!
Los vimos emitir comunicados de prensa, por ejemplo, durante el ataque a Colonial Pipeline llevado a cabo por el grupo Dark Side en mayo de 2021.

Los grupos de hackers más activos en los últimos años

Hablar de grupos ciberdelincuentes en los últimos años ha significado hablar de ransomware, porque esta se ha convertido, a día de hoy, en la amenaza más extendida, la que más temen las empresas y la más rentable para los atacantes.

Según el Informe Clusit 2021, el ransomware representó en 2020 el 67% de todos los ataques de malware.

Según Cybersecurity Ventures, en 2021 tuvo lugar un ataque de ransomware cada 11 segundos en el mundo, con un daño total para las empresas que sumó alrededor de 20 mil millones de dólares en un año.

Echemos un vistazo a los grupos que han sido especialmente activos en la difusión de ransomware. En algunos casos fueron responsables de ataques sensacionales, que golpearon a importantes organizaciones con solicitudes de rescate que ascendieron a decenas de millones de dólares.

REvil/Sodinokibi

Apareció en 2019, probablemente como un spin-off del desaparecido GandCrab. Toma su nombre de la película “Resident Evil”. Es muy probable que se encuentre en Rusia y no parece estar conectado con ninguna entidad política o gubernamental.

Ha sido uno de los más activos en el modelo de “Ransomware as a Service” (RaaS). Según los datos estadísticos que se han publicado, las víctimas de REvil representan el 11% del número total de ataques. Es el autor de la solicitud de rescate más alta de 2021 (70 millones de dólares en el ataque a Kaseya).

También atacó a JBS S.A., la empresa procesadora de carne más grande del mundo. En septiembre de 2021, la empresa de ciberseguridad Bitdefender anunció la disponibilidad de un descifrador universal para el ransomware REvil/Sodinokibi.

En enero de 2022, una operación del FSB, los Servicios Secretos rusos, llevó al arresto de 14 miembros del grupo REvil en Rusia, desmantelando definitivamente la banda. La operación fue ampliamente publicitada por la propia Rusia, tal vez para mostrar -especialmente hacia Estados Unidos- su compromiso en la lucha contra el cibercrimen. La agencia FSB declaró haber actuado después de recibir información de Estados Unidos sobre la banda REvil.

Ryuk

Desde agosto de 2018, en idioma ruso. Muy agresivo, con ataques dirigidos hacia grandes organizaciones y con solicitudes de rescate generalmente muy elevadas. Uno de los primeros grupos en desarrollar los programas de afiliación RaaS. También atacó a Bonfiglioli SpA en Italia en junio de 2019.

Maze

Desde mayo de 2019. Introdujo la doble extorsión, contando con la amenaza de publicar los archivos. Los ataques de Maze continuaron hasta septiembre de 2020, cuando el grupo anunció el fin de sus actividades. Sin embargo, podría estar usando un nombre diferente.

Ragnar Locker

Apareció por primera vez en 2019 y se hizo conocido en la primera mitad de 2020, cuando golpeó a algunas grandes corporaciones. Este grupo también hace un uso agresivo de la doble extorsión. Fue responsable del ataque a Campari (2020) con una solicitud de rescate de 15 millones de dólares. Parece haberse unido al cartel de ransomware Maze, lo que nos hace pensar que los dos grupos posiblemente estén colaborando.

DoppelPaymer

Apareció en 2019 y parece ser el sucesor del ya desaparecido BitPaymer (también llamado FriedEx). También golpeó a Italia, especialmente a las Administraciones Públicas del país. Sus víctimas incluyen el Registro Escolar, el Municipio de Caselle Torinese, el Municipio de Rho, la Administración Local de Salud Umbria 2 y el Municipio de Brescia.

En América, golpeó a la empresa petrolera nacional mexicana Pemex Oil (en noviembre de 2019) y a la ciudad de Torrance en el área metropolitana de Los Ángeles, solicitando un rescate de 100 bitcoin (689,147 dólares) y 200GB de datos exfiltrados. También golpeó al Condado de Delaware en Pensilvania (rescate pagado: 500,000 dólares).

DarkSide

De origen ruso, famoso por el ataque a Colonial Pipeline en Estados Unidos (mayo de 2021).

Lockbit

Desde febrero de 2020, de origen ruso. Tiene un modelo de negocio muy moderno con un programa de fidelización para RaaS. Se cree que tiene al menos 30 afiliados, cada uno de los cuales genera un promedio de 70-80 ataques.

Conti

El grupo apareció en julio de 2020, probablemente tras una ruptura con Ryuk.
Es un grupo altamente organizado, con métodos de reclutamiento basados en capacidades técnicas y un alto nivel de colaboración entre sus afiliados. Muchos de los ataques recientes se dirigieron a Italia, incluyendo en 2021 el que sufrió San Carlo (la famosa empresa de patatas fritas de la industria alimentaria) y el que sufrió el municipio de Turín.

RansomExx

Este es el ransomware que golpeó a la Región italiana del Lacio a principios de agosto de 2021.

Everest

Una banda de ransomware relativamente reciente que apareció en diciembre de 2020. Es conocida especialmente por el ataque a la SIAE (octubre de 2021), la Asociación Italiana de Autores y Editores, cuyos miembros vieron sus datos publicados en línea (especialmente cantantes).

Grupos de hackers vinculados al Estado

Los grupos de hackers (aunque sería más correcto llamarlos “cibercriminales”) que hemos enumerado anteriormente tienen todos, como objetivo, robar dinero, especialmente a través de la extorsión mediante ransomware. Podemos definirlos como bandas “privadas”, aunque a veces están conectadas entre sí.

Pero no son los únicos actores de amenazas. También existen los llamados grupos de hackers patrocinados por estados, es decir, grupos que están – de manera más o menos directa – vinculados a estados y gobiernos.
Hoy en día, la guerra ya (casi) no se libra en los espacios de guerra tradicionales (tierra, mar, cielo), sino más bien en el “ciberespacio”. Y son los propios estados quienes la libran, a través de grupos creados expresamente para ello.

Esta guerra, definida como “ciberguerra”, se libra sin declaraciones de guerra y suele estar oculta. Quienes la llevan a cabo son grupos que se considera están vinculados a los propios gobiernos, aunque no siempre tengamos pruebas de esta conexión. Una ventaja de la ciberguerra viene dada precisamente por lo difícil que resulta atribuir el ataque a un autor, ya que es fácil para el atacante ocultar sus huellas.

Estos grupos de hackers patrocinados por estados se clasifican con nombres que a veces les son asignados por empresas que trabajan en ciberseguridad. Por eso, un mismo grupo puede acabar teniendo más de un nombre. Una de las formas más populares de clasificarlos es utilizar el acrónimo APT seguido de un número, como veremos.

Otra forma de nombrarlos es asociando el nombre de un animal a los grupos de una nación. Así, tenemos: Bear (Rusia), Panda (China), Kitten (Irán), Cobra (Corea del Norte).

Un listado completo y muy detallado de todos estos grupos se ofrece en línea en el sitio web de Mitre en este enlace: https://attack.mitre.org/groups/

Veamos algunos de los más populares:

Grupos de hackers en RUSIA

Fancy Bear

(también conocido como: APT28, Pawn Storm, Sofacy, Sednit, Strontium) probablemente vinculado a los Servicios Secretos rusos GRU. La acción más famosa de Fancy Bear fue el ataque de 2016 al Comité Demócrata Nacional de Estados Unidos y a la campaña de Hillary Clinton, que parece haber influido en los resultados de las elecciones presidenciales estadounidenses. Se considera que Fancy Bear está vinculado al grupo de hackers Guccifer 2.0.

Cozy Bear

(también conocido como: APT29), probablemente vinculado a los servicios secretos exteriores rusos (SVR). También conectado o afiliado con otros grupos: Dark Halo, StellarParticle, Nobelium, UNC2452, Yttrium, The Dukes. En abril de 2021, los gobiernos de Estados Unidos y del Reino Unido atribuyeron a Cozy Bear el ataque que comprometió la cadena de suministro de la empresa estadounidense SolarWinds.

Grupos de hackers en CHINA

Deep Panda

(también conocido como: Shell Crew, WebMasters, KungFu Kittens y PinkPanther). Algunos analistas sostienen que Deep Panda y APT19 son en realidad el mismo grupo.

Mustang Panda

(también conocido como: RedDelta, Bronze President). Ha atacado a instituciones públicas, organizaciones sin ánimo de lucro, otras organizaciones religiosas y no gubernamentales en Estados Unidos, Alemania, Mongolia, Myanmar, Pakistán y Vietnam, entre otros.

Hafnium

Probablemente es un grupo patrocinado por el Estado que opera desde China y ha estado activo al menos desde enero de 2021. Hafnium se dirige principalmente a entidades en Estados Unidos a través de una serie de sectores industriales. Se le considera responsable del ataque a los servidores de Microsoft Exchange a principios de 2021.

Grupos de hackers en IRÁN

Elfin

(también conocido como: APT33, HOLMIUM). Grupo iraní que ha llevado a cabo ataques al menos desde 2013. El grupo se ha dirigido a diferentes sectores en Estados Unidos, Arabia Saudita y Corea del Sur, con un interés particular por los sectores de la aviación y la energía, especialmente las refinerías de petróleo.

OilRig

(también conocido como: APT34, Helix Kitten). Grupo iraní que existe al menos desde 2014 y centra sus operaciones en Oriente Medio. Según FireEye, el grupo opera a instancias del gobierno iraní.

MuddyWater

(también conocido como: Mercury, Static Kitten, Seedworm). Se dirigió principalmente a países de Oriente Medio, pero también a países europeos y norteamericanos. Las víctimas del grupo se encuentran principalmente en los sectores de telecomunicaciones, gubernamental (servicios de TI) y petrolero.

Pioneer Kitten

(también conocido como: UNC757, Fox Kitten, Parisite). Se sospecha que está vinculado al gobierno iraní. Activo al menos desde 2017 contra entidades en Oriente Medio, Norte de África, Europa, Australia y Norteamérica. Se dirigió a sitios industriales, entre ellos refinerías de petróleo y gas, plantas tecnológicas, gobiernos, sistemas de defensa, sistemas de salud pública, producción general e ingeniería.

Grupos de hackers en COREA DEL NORTE

Lazarus Group

(también conocido como: APT38, Guardians of Peace, BeagleBoyz, Hidden Cobra). Financiado y gestionado por el régimen norcoreano, el grupo no lleva a cabo ataques militares contra otros países, sino que tiene como principal objetivo recaudar fondos (por supuesto, de manera ilegal) para financiar al régimen y eludir las sanciones impuestas a Corea del Norte. Según los analistas, al menos 7.000 norcoreanos trabajan en este departamento cibernético gubernamental.

El primer ataque del que se dispone de pruebas es la “Operación Flame” de 2007, con un sabotaje a la red de Internet de Corea del Sur. En 2013, llevó a cabo una serie de ataques coordinados contra instituciones financieras surcoreanas.

Los bancos e instituciones financieras son siempre el objetivo principal. El grupo es famoso especialmente por el ataque al Banco Central de Bangladesh en 2016 (el mayor robo cibernético de la historia, con 82 millones de dólares robados) y por el ataque a Sony Pictures Entertainment en noviembre de 2014.

Hacker: ¿cómo puedes defenderte de un ataque de “dropper”?

Los cibercriminales cuyas acciones hemos comentado anteriormente tienen grandes capacidades de ataque y objetivos que pueden ser políticos o militares (en el caso de los grupos patrocinados por el estado) o bien económicos.

Este último tipo de objetivos son los que las empresas y organizaciones deben temer, ya que el fin es su dinero o bien sus datos (que, sin embargo, valen dinero).

Las técnicas de ataque pueden ser numerosas y muy sofisticadas, pero casi siempre utilizan algunas notas TTP (Técnicas, Tácticas y Procedimientos).

El ataque “Dropper”

Uno de los ataques más comunes se basa en el siguiente método: el atacante inyecta en el sistema que quiere atacar un dropper que puede usarse para iniciar el ataque. Este dropper (por ejemplo, una macro de Excel o Word, o bien un archivo VBS) lanzará una conexión hacia servidores de Comando y Control (C&C) pertenecientes al atacante, desde donde el dropper puede descargar el malware necesario para finalizar la acción.

¿Cómo puedes defenderte de los hackers y el “Geo-Blocking”?

FlashStart te ayuda concretamente a reducir las posibilidades de introducir un Dropper bloqueando el acceso a sitios web comprometidos y peligrosos a nivel de DNS y permitiendo, gracias a la exclusiva función de Geoblocking, el bloqueo de la resolución DNS hacia sitios web alojados en países que se consideran peligrosos.
No obstante, será posible permitir la resolución DNS parcial solo para sitios web seleccionados ubicados en estos países, con total seguridad y flexibilidad.

El Autor

Giorgio Sbaraglia, ingeniero, es consultor y formador en temas de ciberseguridad y privacidad.

Imparte cursos de formación sobre estos temas para numerosas e importantes empresas italianas, entre ellas ABIFormazione y la 24Ore Business School (https://www.24orebs.com/docenti/giorgio-sbaraglia).
Es el coordinador científico del Máster “Cybersecurity and Data Protection” de la 24Ore Business school.

Es miembro del Comité Científico de CLUSIT (Asociación Italiana para la Ciberseguridad) y un Innovation Manager certificado por RINA.

Ocupa cargos de DPO (Delegado de Protección de Datos) en empresas y colegios profesionales.

Es autor de los siguientes libros:

• “GDPR kit di sopravvivenza” – “Kit de supervivencia del GDPR” (Editado por goWare),
• “Cybersecurity kit di sopravvivenza. Il web è un luogo pericoloso. Dobbiamo difenderci!” – “Kit de supervivencia de ciberseguridad. La web es un lugar peligroso. ¡Debemos defendernos!” (Editado por goWare),
• “iPhone. Come usarlo al meglio. Scopriamo insieme tutte le funzioni e le app migliori” – “iPhone. Cómo usarlo al máximo. Descubramos juntos todas las funciones y las mejores apps” (Editado por goWare).

Colabora con CYBERSECURITY360 (https://www.cybersecurity360.it/), una revista online especializada del grupo Digital360 centrada en la Ciberseguridad.

También escribe para ICT Security Magazine, para Agenda Digitale y para la revista CLASS.

Puedes activar la protección FlashStart® Cloud en cualquier tipo de Router y Firewall para proteger dispositivos de escritorio y móviles, así como dispositivos IoT, en redes locales.