¿Por qué los eventos multitudinarios son tan susceptibles a ciberataques?

“Los hackers o cibercriminales suelen concentrar toda su atención en los eventos que aglutinan un gran grupo de personas y que tienen un carácter mundial porque de esta manera buscan dar un claro mensaje que pretende establecer que no hay red lo suficientemente segura,” destacó Walter Cervoni, Chief Technology Officer de GM Security Technologies.

En el caso de las Olimpíadas de Invierno 2018, el ataque inicial afectó principalmente todos los sistemas de tecnología y la conexión a Internet que sería utilizada por los periodistas para hacer la transmisión a sus respectivos países. Asimismo, imposibilitó al público que había adquirido sus entradas online imprimir sus reservas. Estos problemas se extendieron por un par de días.

De acuerdo con los informes emanados a posteriori, los atacantes desplegaron una cepa de malware nunca vista antes con la intención de destruir datos para que el sistema encuentre errores cuando intente iniciar. "Las muestras analizadas parecen realizar solo funciones destructivas porque elimina todos los datos de los equipos dejándolos inservibles", explican los expertos. El virus fue bautizado con el nombre de Olympic Destroyer.

El Olympic Destroyer fue creado con la finalidad de eliminar la instantáneas de los sistemas, los registros de eventos e intentar usar PsExec y WMI para avanzar en el entorno. El comportamiento ha resultado ser similar al de Bad Rabbit, el ransomware que ocasionó grandes problemas en Europa del Este durante el tercer trimestre de 2017. Olympic Destroyer actúa de la siguiente manera:  envía un fichero binario al equipo objetivo del ataque que contiene múltiples ficheros, y sus nombres son generados aleatoriamente.

Dos de los ficheros incluidos en el binario son módulos dedicados a robar credenciales, uno dirigido contra los navegadores web (Internet Explorer, Firefox y Chrome) y otro contra el Servicio de Subsistema de Autoridad de Seguridad Local (LSASS) de Windows utilizando un método similar al empleado por la herramienta de penetración Mimikatz. Tras conseguir las credenciales se dedica a utilizarlas para acceder e infectar servidores y borrar las instantáneas del sistema utilizando el comando vssadmin.exe y wbadmin.exe para destruir otros ficheros importantes. Luego el malware se aprovecha de un comando llamado BCDEdit, que es usado para ajustar las configuraciones de arranque en máquinas Windows.

Recomendaciones para minimizar el efecto de los ciberecriminales de cara al Mundial de Rusia 2018

De acuerdo con los resultados de las investigaciones arrojadas hasta este momento, este malware no pasó de dañar equipos e impedir la conectividad desde Corea con el resto del mundo. “Es necesario implementar un plan para evitar que este tipo de ataques se continúen en eventos de gran escala como podría ser el Mundial de Fútbol Rusia 2018, más aún, considerando que este es el país del mundo con mayor índice probado de cibercriminalidad”, dicen los expertos.

Por esto, GM Security Technologies enfatiza la necesidad de educar a los usuarios sobre la importancia de qué tipo de archivos se puede abrir y de proveer los recursos a los departamentos de sistemas de información para mantener los parches al día, hacer análisis de vulnerabilidad trimestrales y otras recomendaciones técnicas relacionadas. Asimismo, destaca la segmentación de la red, tanto norte/sur, es decir, lo que viene de Internet, como este/oeste, lo que limitaría que un malware se pueda regar dentro de la red.

Algunas recomendaciones que deberían tomar en consideración quienes se encuentran a la cabeza de la ciberseguridad en estos eventos incluyen:

• Bajo ningún concepto ejecutar archivos de dudosa procedencia que lleguen como adjuntos en correos electrónicos.
• Estar alerta ante mensajes de contactos desconocidos; realizar backups y soportes periódicos de la información relevante.
• Realizar análisis de vulnerabilidad frecuentes.
• Realizar una segmentación de la red y del acceso a cada nivel según el organigrama de la empresa o corporación que está organizando el evento.

“Se debe cuidar el perímetro para detectar, bloquear y poder responder de manera rápida a cualquier ataque que llegara a generarse durante estos grandes eventos”, señaló Cervoni para finalizar.

Walter Cervoni, Chief Technology Officer de GM Security Technologies.