Durante el preludio de la invasión rusa de Ucrania y la invasión rusa de Ucrania , se registraron múltiples ataques cibernéticos contra Ucrania , así como algunos ataques contra Rusia . El primer gran ciberataque tuvo lugar el 14 de enero de 2022 y acabó con más de una docena de sitios web gubernamentales de Ucrania . [1] Según funcionarios ucranianos, alrededor de 70 sitios web gubernamentales, incluidos el Ministerio de Asuntos Exteriores , el Gabinete de Ministros y el Consejo Nacional y de Defensa (NSDC), fueron atacados. La mayoría de los sitios fueron restaurados pocas horas después del ataque. [2] El 15 de febrero, otro ciberataque derribó múltiples servicios gubernamentales y bancarios. [3] [4]
El 24 de febrero, Rusia lanzó una invasión a gran escala de Ucrania. Los funcionarios de inteligencia occidentales creyeron que esto iría acompañado de un importante ciberataque contra la infraestructura ucraniana, pero esta amenaza no se materializó. [5] Los ciberataques a Ucrania continuaron durante la invasión, pero con un éxito limitado. Grupos de hackers independientes, como Anonymous , han lanzado ciberataques contra Rusia en represalia por la invasión. [5] [6]
El gobierno canadiense, en un libro blanco sin fecha publicado después del 22 de junio de 2022, creía "que el alcance y la gravedad de las operaciones cibernéticas relacionadas con la invasión rusa de Ucrania han sido casi con certeza más sofisticados y generalizados de lo que se ha informado en fuentes abiertas". [7]
En el momento del ataque, las tensiones entre Rusia y Ucrania eran altas, con más de 100.000 soldados rusos estacionados cerca de la frontera con Ucrania y conversaciones en curso entre Rusia y la OTAN . [1] El gobierno estadounidense alegó que Rusia se estaba preparando para una invasión de Ucrania, incluidas "actividades de sabotaje y operaciones de información". Estados Unidos también supuestamente encontró evidencia de "una operación de bandera falsa" en el este de Ucrania, que podría usarse como pretexto para una invasión. [2] Rusia niega las acusaciones de una invasión inminente, pero ha amenazado con una "acción técnico-militar" si no se cumplen sus demandas, especialmente una petición de que la OTAN nunca admita a Ucrania en la alianza. Rusia se ha pronunciado fuertemente en contra de la expansión de la OTAN a sus fronteras. [2]
Los ataques del 14 de enero de 2022 consistieron en que los piratas informáticos sustituyeran los sitios web por textos en ucraniano , polaco erróneo y ruso , que decían "ten miedo y espera lo peor" y alegaban que se había filtrado información personal a Internet. [8] Unos 70 sitios web gubernamentales se vieron afectados, incluidos el Ministerio de Asuntos Exteriores , el Gabinete de Ministros y el Consejo de Seguridad y Defensa . [9] El SBU ha declarado que no se filtró ningún dato. Poco después de que apareciera el mensaje, los sitios fueron desconectados. La mayoría de los sitios fueron restaurados en unas pocas horas. [1] El subsecretario del NSDC, Serhiy Demedyuk, declaró que la investigación ucraniana del ataque sospecha que se utilizaron los derechos de administración de una empresa de terceros para llevar a cabo el ataque. El software de la empresa anónima se había utilizado desde 2016 para desarrollar sitios gubernamentales, la mayoría de los cuales se vieron afectados por el ataque. [9] Demedyuk también culpó al UNC1151, un grupo de hackers supuestamente vinculado a la inteligencia bielorrusa, por el ataque. [10]
Casi al mismo tiempo se produjo otro ataque de malware destructivo que apareció por primera vez el 13 de enero. Detectado por primera vez por el Centro de inteligencia de amenazas de Microsoft (MSTIC), el malware se instaló en dispositivos pertenecientes a "múltiples organizaciones gubernamentales, sin fines de lucro y de tecnología de la información" en Ucrania. [11] Más tarde, se informó que esto incluía al Servicio Estatal de Emergencia y la Oficina de Seguros de Transporte Motorizado. [12] El software, denominado DEV-0586 o WhisperGate, fue diseñado para parecerse a un ransomware, pero carece de una función de recuperación, lo que indica una intención de simplemente destruir archivos en lugar de cifrarlos para pedir un rescate. [11] El MSTIC informó que el malware fue programado para ejecutarse cuando el dispositivo objetivo estaba apagado. El malware sobrescribiría el registro de arranque maestro (MBR) con una nota de rescate genérica. A continuación, el malware descarga un segundo archivo .exe , que sobrescribiría todos los archivos con determinadas extensiones de una lista predeterminada, eliminando todos los datos contenidos en los archivos de destino. La carga útil del ransomware se diferencia de un ataque de ransomware estándar en varios aspectos, lo que indica una intención únicamente destructiva. [13] Sin embargo, evaluaciones posteriores indican que el daño fue limitado, probablemente una elección deliberada de los atacantes. [12]
El 19 de enero, la amenaza persistente avanzada (APT) rusa Gamaredon (también conocida como Oso Primitivo ) intentó comprometer una entidad gubernamental occidental en Ucrania. [14] El ciberespionaje parece ser el objetivo principal del grupo, [14] que ha estado activo desde 2013; A diferencia de la mayoría de las APT, Gamaredon se dirige ampliamente a todos los usuarios de todo el mundo (además de centrarse también en determinadas víctimas, especialmente organizaciones ucranianas [15] ) y parece prestar servicios a otras APT. [16] Por ejemplo, el grupo de amenazas InvisiMole ha atacado sistemas seleccionados que Gamaredon había comprometido anteriormente y había tomado huellas digitales. [15]
Rusia negó las acusaciones de Ucrania de que estuviera vinculada a los ciberataques. [17]
Instituciones gubernamentales ucranianas, como el Centro de Comunicaciones Estratégicas y Seguridad de la Información y el Ministerio de Asuntos Exteriores , sugirieron que la Federación Rusa fue la autora del ataque, señalando que esta no sería la primera vez que Rusia ataca a Ucrania . [8] [18]
El Alto Representante de la Unión Europea, Josep Borrell, dijo sobre la fuente del ataque: "Uno puede muy bien imaginar con cierta probabilidad o con un margen de error, de dónde puede venir". [19] El Secretario General de la OTAN, Jens Stoltenberg, anunció que la organización aumentaría su coordinación con Ucrania en materia de ciberdefensa ante posibles ciberataques adicionales . Posteriormente, la OTAN anunció que firmaría un acuerdo que otorgaría a Ucrania acceso a su plataforma de intercambio de información sobre malware . [2] [8]
El 15 de febrero, un gran ataque DDoS derribó los sitios web del Ministerio de Defensa, el ejército y los dos bancos más grandes de Ucrania, PrivatBank y Oschadbank . [3] [20] [4] El monitor de ciberseguridad NetBlocks informó que el ataque se intensificó a lo largo del día y afectó también a las aplicaciones móviles y a los cajeros automáticos de los bancos. [3] El New York Times lo describió como "el mayor asalto de este tipo en la historia del país". Los funcionarios del gobierno ucraniano declararon que el ataque probablemente fue llevado a cabo por un gobierno extranjero y sugirieron que Rusia estaba detrás del mismo. [21] Aunque había temores de que el ataque de denegación de servicio pudiera ser una cobertura para ataques más graves, un funcionario ucraniano dijo que no se había descubierto tal ataque. [12]
Según el gobierno del Reino Unido [22] y el Consejo de Seguridad Nacional de los EE.UU., el ataque fue realizado por la Dirección Principal de Inteligencia rusa (GRU). La funcionaria estadounidense de ciberseguridad Anne Neuberger afirmó que se ha observado que una infraestructura conocida de GRU transmite grandes volúmenes de comunicaciones a direcciones IP y dominios con sede en Ucrania. [23] El portavoz del Kremlin, Dmitry Peskov, negó que el ataque se originara en Rusia. [24]
El 23 de febrero, un tercer ataque DDoS derribó varios sitios web del gobierno, el ejército y los bancos de Ucrania. Aunque se describió que los sitios web militares y bancarios tenían “una recuperación más rápida”, el sitio web del SBU estuvo fuera de línea durante un período prolongado. [25]
Justo antes de las 5 de la tarde del 23 de febrero, se detectó malware de borrado de datos en cientos de computadoras pertenecientes a múltiples organizaciones ucranianas, incluidas las de los sectores financiero, de defensa, de aviación y de servicios de TI. ESET Research denominó el malware HermeticWiper, llamado así por su certificado de firma de código genuino de la empresa Hermetica Digital Ltd, con sede en Chipre. Según se informa, el limpiador se compiló el 28 de diciembre de 2021, mientras que Symantec informó actividad maliciosa ya en noviembre de 2021, lo que implica que el ataque fue planeado. meses antes de tiempo. Symantec también informó sobre ataques de limpieza contra dispositivos en Lituania y que algunas organizaciones se vieron comprometidas meses antes del ataque de limpieza. De manera similar al ataque WhisperGate de enero, el ransomware a menudo se implementa simultáneamente con el limpiador como señuelo, y el limpiador daña el registro de arranque maestro del dispositivo. [26] [27]
Un día antes del ataque, la UE había desplegado un equipo cibernético de respuesta rápida formado por unos diez expertos en ciberseguridad de Lituania, Croacia, Polonia, Estonia, Rumania y los Países Bajos. Se desconoce si este equipo ayudó a mitigar los efectos del ciberataque. [28]
El ataque coincidió con el reconocimiento ruso de las regiones separatistas del este de Ucrania y la autorización del despliegue de tropas rusas allí. Estados Unidos y el Reino Unido culparon del ataque a Rusia. Rusia negó las acusaciones y las calificó de “rusófobas”. [25]
El ataque a Viasat , que ocurrió entre las 5 am y las 9 am EEST del 24 de febrero, [29] podría haber tenido como objetivo perturbar las redes militares ucranianas, que utilizaban la red de Viasat para brindarles servicios de comunicaciones. [30] [31] El ataque podría haber tenido como objetivo atacar "aspectos del mando y control militar en Ucrania". [32] [33] El ataque "dejó inoperables miles de módems de banda ancha satelital Viasat KA-SAT en Ucrania, incluidos los utilizados por el ejército y otras agencias gubernamentales, causando pérdidas importantes en las comunicaciones por Internet". [34] [30] [35] [36]
En una comunicación conjunta del 10 de mayo de 2022, muchos gobiernos occidentales presentaron pruebas de que Rusia era responsable del ataque debido a su invasión. [37] [38] [39] [40] [41]
El 26 de febrero, el Ministro de Transformación Digital de Ucrania, Mykhailo Fedorov, anunció la creación de un ejército de TI , que incluirá ciberespecialistas, redactores, diseñadores, especialistas en marketing y especialistas en objetivos. Como resultado, numerosos sitios web y bancos del gobierno ruso fueron atacados. [42] Se han hecho públicas docenas de temas de estrellas y funcionarios rusos, y se han transmitido canciones ucranianas en algunos canales de televisión, incluido " Oración por Ucrania ". [43] [44]
Para defenderse y mantener la conectividad a Internet durante la guerra, los funcionarios ucranianos consideraron que el acceso a Internet Starlink en su país era una solución potencial. [45]
A diferencia de Internet satelital convencional como Viasat, el acceso a Internet Starlink funciona en una red fragmentada en partes individuales. [46] [47] Internet se transmite a un plato específico que tiene un alcance limitado y brinda acceso a Internet en el área limitada del plato, como un punto de acceso personal a Internet. [47] [48] Todo el sistema evita que Starlink pueda ser eliminado en un solo ataque por parte de Rusia. [49]
El 26 de febrero, el gobierno ucraniano y el ministro ucraniano Mykhailo Fedorov pidieron a Elon Musk en Twitter que brindara asistencia Starlink a Ucrania. [50] [51] Musk estuvo de acuerdo y SpaceX respondió activando el servicio en todo el país, y el primer envío de terminales Starlink llegó dos días después, el 28 de febrero. [50]
A partir del 6 de marzo, Rusia comenzó a aumentar significativamente la frecuencia de sus ciberataques contra civiles ucranianos. [52]
Sólo el 9 de marzo, el solucionador recursivo de bloqueo de malware Quad9 interceptó y mitigó 4,6 millones de ataques contra computadoras y teléfonos en Ucrania y Polonia, a un ritmo más de diez veces mayor que el promedio europeo. El experto en ciberseguridad Bill Woodcock de Packet Clearing House señaló que las consultas de DNS bloqueadas provenientes de Ucrania muestran claramente un aumento en los ataques de phishing y malware contra los ucranianos, y señaló que las cifras polacas también eran más altas de lo habitual porque el 70%, o 1,4 millones, de los En aquel momento había refugiados ucranianos en Polonia. [53] Al explicar la naturaleza del ataque, Woodcock dijo que "los ucranianos están siendo objetivo de una enorme cantidad de phishing, y gran parte del malware que ingresa a sus máquinas intenta contactar con una infraestructura maliciosa de comando y control". [52]
El 28 de marzo, RTComm.ru, un proveedor de servicios de Internet ruso, BGP secuestró el bloque de direcciones IPv4 104.244.42.0/24 de Twitter durante un período de dos horas y quince minutos. [54] [55]
Si bien nuestro tráfico general disminuyó en Kiev (y aumentó ligeramente en Varsovia debido a cortes de infraestructura dentro de Ucrania), la proporción de "consultas buenas" a "consultas bloqueadas" se ha disparado en ambas ciudades. El aumento en la tasa de bloqueo el miércoles (9 de marzo de 2022) por la tarde en Kiev fue alrededor de 10 veces el nivel normal en comparación con otras ciudades de Europa. Este salto de orden de magnitud no tiene precedentes.