Unos hackers vinculados a Rusia utilizaron una nueva puerta trasera en una red en malla para llevar a cabo un ataque destructivo contra Ucrania

Un grupo de pi­ra­tas in­for­má­ti­cos pa­tro­ci­na­dos por el es­ta­do ruso, co­no­ci­do como Sand­worm, co­la­bo­ró con otro actor de ame­na­zas para eje­cu­tar un ata­que des­truc­ti­vo de bo­rra­do de datos con­tra una em­pre­sa de lo­gís­ti­ca ucra­nia­na. La in­tru­sión co­men­zó cuan­do UAC-0099 logró el ac­ce­so ini­cial me­dian­te un co­rreo de spear-phishing que con­te­nía un ar­chi­vo ma­li­cio­so, lo que per­mi­tió ins­ta­lar una puer­ta tra­se­ra lla­ma­da MATCHWOK a tra­vés de un des­car­ga­dor. Tras man­te­ner el ac­ce­so du­ran­te más de dos meses, UAC-0099 trans­fi­rió el con­trol a Sand­worm, grupo que fi­nal­men­te llevó a cabo el ata­que des­truc­ti­vo uti­li­zan­do la uti­li­dad SDe­le­te dis­tri­bui­da a tra­vés de la Di­rec­ti­va de Grupo de Ac­ti­ve Di­rec­tory.

Lo más no­ta­ble de esta ope­ra­ción fue el em­pleo por parte de UAC-0099 de una puer­ta tra­se­ra hasta en­ton­ces no do­cu­men­ta­da de­no­mi­na­da Mythi­cRa­ta­toskr, la cual se co­mu­ni­ca con un ser­vi­dor de co­man­do y con­trol alo­ja­do den­tro de una red en malla. Esta he­rra­mien­ta ma­li­cio­sa fue ins­ta­la­da un día des­pués de MATCHWOK y cuen­ta con fun­cio­nes bá­si­cas como en­viar me­ta­da­tos de la víc­ti­ma, bus­car nue­vas ór­de­nes, cap­tu­rar pan­ta­llas, ma­ni­pu­lar ar­chi­vos y eje­cu­tar co­man­dos de con­so­la. Asi­mis­mo, el soft­wa­re in­clu­ye un re­tra­so de ini­cio para evi­tar una co­ne­xión in­me­dia­ta y re­du­cir las po­si­bi­li­da­des de de­tec­ción, y los in­di­cios apun­tan a que tam­bién po­dría exis­tir una ver­sión com­pa­ti­ble con sis­te­mas ope­ra­ti­vos Linux.

Los in­ves­ti­ga­do­res se­ña­la­ron que este cons­ti­tu­ye el pri­mer caso re­gis­tra­do en el que un grupo vin­cu­la­do a un es­ta­do abusa de una red de igual a igual de esta ma­ne­ra, lo que po­dría in­di­car una ten­den­cia cre­cien­te hacia el uso de in­fra­es­truc­tu­ras más re­si­lien­tes y si­gi­lo­sas. Esta coope­ra­ción entre UAC-0099 y Sand­worm se ali­nea con otras alian­zas ob­ser­va­das entre ac­to­res ali­nea­dos con Rusia en cam­pa­ñas pre­vias di­ri­gi­das con­tra en­ti­da­des ucra­nia­nas en sec­to­res como el gu­ber­na­men­tal, ener­gé­ti­co, lo­gís­ti­co y de ce­rea­les, cuyo pro­pó­si­to es po­ten­ciar el im­pac­to ope­ra­ti­vo de sus ac­ti­vi­da­des ci­ber­né­ti­cas.