GhostNet ( chino simplificado :幽灵网; chino tradicional :幽靈網; pinyin : YōuLíngWǎng ) es el nombre dado por los investigadores del Information Warfare Monitor a una operación de espionaje cibernético a gran escala [1] [2] descubierta en marzo de 2009. La operación probablemente esté asociada con una amenaza persistente avanzada o un actor de red que espía sin ser detectado. [3] Su infraestructura de comando y control está basada principalmente en la República Popular China y GhostNet se ha infiltrado en ubicaciones políticas, económicas y mediáticas de alto valor [4] en 103 países. Los sistemas informáticos pertenecientes a embajadas , ministerios de asuntos exteriores y otras oficinas gubernamentales, y los centros de exilio tibetano del Dalai Lama en India, Londres y la ciudad de Nueva York se vieron comprometidos.
GhostNet fue descubierto y nombrado después de una investigación de 10 meses por el Infowar Monitor (IWM), llevada a cabo después de que los investigadores del IWM se acercaran al representante del Dalai Lama en Ginebra [5] sospechando que su red informática había sido infiltrada. [6] El IWM está compuesto por investigadores de The SecDev Group y la consultoría canadiense y el Citizen Lab , Munk School of Global Affairs de la Universidad de Toronto ; los resultados de la investigación se publicaron en Infowar Monitor , una publicación afiliada. [7] Los investigadores del Laboratorio de Computación de la Universidad de Cambridge , apoyados por el Instituto para la Protección de la Infraestructura de la Información , [8] también contribuyeron a la investigación en una de las tres ubicaciones en Dharamshala , donde se encuentra el gobierno tibetano en el exilio. El descubrimiento de 'GhostNet' y los detalles de sus operaciones fueron informados por The New York Times el 29 de marzo de 2009. [7] [9] Los investigadores se centraron inicialmente en las acusaciones de ciberespionaje chino contra la comunidad tibetana en exilio , como los casos en que se extrajeron correspondencia por correo electrónico y otros datos. [10]
Se descubrieron sistemas comprometidos en las embajadas de India , Corea del Sur , Indonesia , Rumania , Chipre , Malta , Tailandia , Taiwán , Portugal , Alemania y Pakistán y en la oficina del Primer Ministro de Laos . Los ministerios de Asuntos Exteriores de Irán , Bangladesh , Letonia , Indonesia , Filipinas , Brunei , Barbados y Bután también fueron atacados. [1] [11] No se encontró evidencia de que las oficinas gubernamentales de EE. UU. o el Reino Unido estuvieran infiltradas, aunque una computadora de la OTAN fue monitoreada durante medio día y las computadoras de la embajada de India en Washington, DC , fueron infiltradas. [4] [11] [12]
Desde su descubrimiento, GhostNet ha atacado otras redes gubernamentales, por ejemplo, los departamentos financieros oficiales canadienses a principios de 2011, obligándolos a desconectarse. Los gobiernos no suelen admitir este tipo de ataques, que deben ser verificados por fuentes oficiales pero anónimas. [13]
Los correos electrónicos se envían a organizaciones específicas que contienen información contextualmente relevante. Estos correos electrónicos contienen archivos adjuntos maliciosos que, cuando se abren, permiten que un troyano acceda al sistema. [ cita requerida ] Este troyano se conecta a un servidor de control, generalmente ubicado en China, para recibir comandos. El equipo infectado ejecutará entonces el comando especificado por el servidor de control. Ocasionalmente, el comando especificado por el servidor de control hará que el equipo infectado descargue e instale un troyano conocido como Gh0st Rat que permite a los atacantes obtener control completo y en tiempo real de los equipos que ejecutan Microsoft Windows . [4] Los atacantes pueden controlar o inspeccionar un equipo de este tipo, y el software incluso tiene la capacidad de activar las funciones de cámara y grabación de audio de los equipos infectados, lo que permite a los atacantes realizar vigilancia. [7]
Los investigadores del IWM afirmaron que no podían concluir que el gobierno chino fuera responsable de la red de espionaje. [14] Sin embargo, un informe de investigadores de la Universidad de Cambridge dice que creen que el gobierno chino está detrás de las intrusiones que analizaron en la Oficina del Dalai Lama. [15]
Los investigadores también han señalado la posibilidad de que GhostNet fuera una operación dirigida por ciudadanos privados en China con fines lucrativos o por razones patrióticas, o creada por agencias de inteligencia de otros países como Rusia o Estados Unidos. [7] El gobierno chino ha declarado que China "prohíbe estrictamente cualquier delito cibernético". [1] [10]
El informe "Ghostnet Report" documenta varias infecciones no relacionadas en organizaciones relacionadas con el Tíbet, además de las infecciones de Ghostnet. Al utilizar las direcciones de correo electrónico proporcionadas por el informe de IWM, Scott J. Henderson había logrado rastrear a uno de los operadores de una de las infecciones (no Ghostnet) hasta Chengdu . Identifica al hacker como un hombre de 27 años que había asistido a la Universidad de Ciencia y Tecnología Electrónica de China y que actualmente estaba conectado con la red clandestina de hackers chinos . [16]
A pesar de la falta de pruebas que permitan señalar al gobierno chino como responsable de las intrusiones contra objetivos relacionados con el Tíbet, los investigadores de Cambridge han descubierto acciones llevadas a cabo por funcionarios del gobierno chino que se corresponden con la información obtenida mediante intrusiones informáticas. Uno de esos incidentes involucró a un diplomático que fue presionado por Pekín después de recibir una invitación por correo electrónico de sus representantes para una visita con el Dalai Lama . [15]
Otro incidente tuvo lugar cuando una mujer tibetana fue interrogada por agentes de inteligencia chinos y le mostraron transcripciones de sus conversaciones en línea. [14] [17] Sin embargo, existen otras posibles explicaciones para este suceso. Drelwa utiliza QQ y otros mensajeros instantáneos para comunicarse con los usuarios chinos de Internet. En 2008, el IWM descubrió que TOM-Skype, la versión china de Skype, estaba registrando y almacenando los mensajes de texto intercambiados entre los usuarios. Es posible que las autoridades chinas adquirieran las transcripciones de los chats a través de estos medios. [18]
Los investigadores del IWM también han descubierto que, cuando se detecta, GhostNet se controla de forma constante desde direcciones IP ubicadas en la isla de Hainan , China, y han señalado que Hainan es el hogar de la instalación de inteligencia de señales Lingshui y del Tercer Departamento Técnico del Ejército Popular de Liberación. [4] Además, se ha revelado que uno de los cuatro servidores de control de GhostNet es un servidor del gobierno. [ aclarar ] [19]
{{cite web}}: CS1 maint: URL no apta ( enlace )