Fancy Bear [b] es un grupo ruso de ciberespionaje . La firma de ciberseguridad CrowdStrike ha dicho con un nivel medio de confianza que está asociada con la agencia de inteligencia militar rusa GRU . [7] [8] El Ministerio de Relaciones Exteriores y de la Commonwealth del Reino Unido [9], así como las firmas de seguridad SecureWorks , [10] ThreatConnect , [11] y Mandiant , [12] también han dicho que el grupo está patrocinado por el gobierno ruso. En 2018, una acusación formal del Fiscal Especial de los Estados Unidos identificó a Fancy Bear como la Unidad GRU 26165. [5] [4] Esto se refiere a su Número de Unidad Militar unificado de los regimientos del ejército ruso. La sede de Fancy Bear y toda la unidad militar, que supuestamente se especializa en ciberataques patrocinados por el estado y descifrado de datos pirateados, [ 13] fueron atacados por drones ucranianos el 24 de julio de 2023, el techo de un edificio adyacente se derrumbó como resultado de la explosión. [14] [15]
FireEye clasifica a Fancy Bear como una amenaza persistente avanzada . [12] Entre otras cosas, utiliza exploits de día cero , phishing selectivo y malware para comprometer objetivos. El grupo promueve los intereses políticos del gobierno ruso y es conocido por piratear correos electrónicos del Comité Nacional Demócrata para intentar influir en el resultado de las elecciones presidenciales de Estados Unidos de 2016.
El nombre "Fancy Bear" proviene de un sistema de codificación que el investigador de seguridad Dmitri Alperovitch utiliza para identificar a los piratas informáticos. [16]
Es probable que Fancy Bear haya estado en activo desde mediados de la década de 2000 y sus métodos son compatibles con las capacidades de los actores estatales. El grupo tiene como blanco a organizaciones gubernamentales, militares y de seguridad, especialmente a los estados de Transcaucasia y alineados con la OTAN . Se cree que Fancy Bear es responsable de ciberataques al parlamento alemán , al parlamento noruego , a la cadena de televisión francesa TV5Monde , a la Casa Blanca , a la OTAN, al Comité Nacional Demócrata , a la Organización para la Seguridad y la Cooperación en Europa y a la campaña del candidato presidencial francés Emmanuel Macron . [17]
Trend Micro designó a los actores detrás del malware Sofacy como Operation Pawn Storm el 22 de octubre de 2014. [18] El nombre se debió al uso por parte del grupo de "dos o más herramientas/tácticas conectadas para atacar un objetivo específico similar a la estrategia del ajedrez", [19] conocida como pawn storm .
La empresa de seguridad de redes FireEye publicó un informe detallado sobre Fancy Bear en octubre de 2014. El informe designó al grupo como "Advanced Persistent Threat 28" (APT28) y describió cómo el grupo de piratas informáticos utilizó exploits de día cero del sistema operativo Microsoft Windows y Adobe Flash . [20] El informe encontró detalles operativos que indicaban que la fuente es un "patrocinador del gobierno con sede en Moscú". La evidencia recopilada por FireEye sugirió que el malware de Fancy Bear se compiló principalmente en un entorno de compilación en idioma ruso y se produjo principalmente durante las horas de trabajo paralelas a la zona horaria de Moscú . [21] La directora de inteligencia de amenazas de FireEye, Laura Galante, se refirió a las actividades del grupo como "espionaje estatal" [22] y dijo que los objetivos también incluyen "medios de comunicación o personas influyentes". [23] [24]
El nombre "Fancy Bear" deriva del sistema de codificación que la empresa CrowdStrike de Dmitri Alperovitch utiliza para los grupos de hackers. "Bear" indica que los hackers son de Rusia. "Fancy" hace referencia a "Sofacy", una palabra del malware que le recordó al analista que lo encontró la canción " Fancy " de Iggy Azalea . [3]
Los objetivos de Fancy Bear han incluido a los gobiernos y ejércitos de Europa del Este, el país de Georgia y el Cáucaso , Ucrania, [25] organizaciones relacionadas con la seguridad como la OTAN , así como a los contratistas de defensa estadounidenses Academi (antes conocida como Blackwater y Xe Services), Science Applications International Corporation (SAIC), [26] Boeing, Lockheed Martin y Raytheon. [25] Fancy Bear también ha atacado a ciudadanos de la Federación Rusa que son enemigos políticos del Kremlin, incluido el ex magnate petrolero Mikhail Khodorkovsky y Maria Alekhina de la banda Pussy Riot . [25] SecureWorks, una empresa de ciberseguridad con sede en los Estados Unidos, concluyó que desde marzo de 2015 hasta mayo de 2016, la lista de objetivos de "Fancy Bear" incluía no solo al Comité Nacional Demócrata de los Estados Unidos y también al Comité Nacional Republicano, [27] sino también a decenas de miles de enemigos de Putin y el Kremlin en los Estados Unidos, Ucrania, Rusia, Georgia y Siria. Sin embargo, solo un puñado de republicanos fueron atacados. [28] Un análisis de AP de 4.700 cuentas de correo electrónico que habían sido atacadas por Fancy Bear concluyó que ningún otro país además de Rusia estaría interesado en hackear tantos objetivos tan diferentes que parecían no tener nada más en común que el hecho de ser de interés para el gobierno ruso. [25]
Fancy Bear también parece intentar influir en los acontecimientos políticos para que los amigos o aliados del gobierno ruso ganen poder.
Entre 2011 y 2012, el malware de primera etapa de Fancy Bear fue el implante "Sofacy" o SOURFACE. Durante 2013, Fancy Bear agregó más herramientas y puertas traseras, entre ellas CHOPSTICK, CORESHELL, JHUHUGIT y ADVSTORESHELL. [29]
Desde mediados de 2014 hasta el otoño de 2017, Fancy Bear atacó a numerosos periodistas de Estados Unidos, Ucrania, Rusia, Moldavia, los países bálticos y otros países que habían escrito artículos sobre Vladimir Putin y el Kremlin. Según Associated Press y SecureWorks, este grupo de periodistas es el tercer grupo más grande atacado por Fancy Bear después del personal diplomático y los demócratas estadounidenses. La lista de objetivos de Fancy Bear incluye a Adrian Chen , la periodista armenia Maria Titizian, Eliot Higgins de Bellingcat , Ellen Barry y al menos otros 50 periodistas del New York Times , al menos 50 corresponsales extranjeros con base en Moscú que trabajaban para medios de comunicación independientes, Josh Rogin , un columnista del Washington Post , Shane Harris , un escritor del Daily Beast que en 2015 cubrió temas de inteligencia, Michael Weiss , un analista de seguridad de CNN, Jamie Kirchick de la Brookings Institution , 30 medios de comunicación en Ucrania, muchos de ellos en el Kyiv Post , periodistas que cubrieron la guerra respaldada por Rusia en el este de Ucrania , así como en Rusia, donde la mayoría de los periodistas atacados por los piratas informáticos trabajaban para noticias independientes (por ejemplo, Novaya Gazeta o Vedomosti ), como Ekaterina Vinokurova en Znak.com y los periodistas rusos convencionales Tina Kandelaki , Ksenia Sobchak y el presentador de televisión ruso Pavel Lobkov, todos los cuales trabajaban para TV Rain . [30]
Se cree que Fancy Bear fue responsable de un ciberataque de seis meses de duración contra el parlamento alemán que comenzó en diciembre de 2014. [31] El 5 de mayo de 2020, los fiscales federales alemanes emitieron una orden de arresto contra Dimitri Badin en relación con los ataques. [32] El ataque paralizó por completo la infraestructura informática del Bundestag en mayo de 2015. Para resolver la situación, todo el parlamento tuvo que desconectarse durante días. Los expertos en informática estiman que se descargaron un total de 16 gigabytes de datos del Parlamento como parte del ataque. [33]
También se sospecha que el grupo está detrás de un ataque de phishing en agosto de 2016 contra miembros del Bundestag y varios partidos políticos como el líder de la facción Linken, Sahra Wagenknecht , Junge Union y la CDU de Saarland . [34] [35] [36] [37] Las autoridades temían que los piratas informáticos pudieran recopilar información confidencial para luego manipular al público antes de elecciones como las próximas elecciones federales de Alemania, que se celebrarían en septiembre de 2017. [34]
Cinco esposas de militares estadounidenses recibieron amenazas de muerte de un grupo de hackers que se autodenomina "CyberCaliphate", que afirma ser un afiliado del Estado Islámico, el 10 de febrero de 2015. [38] [39] [40] [41] Más tarde se descubrió que se trataba de un ataque de falsa bandera por parte de Fancy Bear, cuando se descubrió que las direcciones de correo electrónico de las víctimas estaban en la lista de objetivos de phishing de Fancy Bear. [39] También se sabe que los trolls rusos de las redes sociales exageran y difunden rumores sobre la amenaza de posibles ataques terroristas del Estado Islámico en suelo estadounidense para sembrar miedo y tensión política. [39]
El 8 de abril de 2015, la cadena de televisión francesa TV5Monde fue víctima de un ciberataque por parte de un grupo de piratas informáticos que se autodenominaba "CyberCaliphate" y que afirmaba tener vínculos con la organización terrorista Estado Islámico de Irak y el Levante (EIIL). Los investigadores franceses descartaron posteriormente la teoría de que los islamistas militantes estuvieran detrás del ciberataque y sospecharon en su lugar de la participación de Fancy Bear. [42]
Los piratas informáticos violaron los sistemas internos de la red, posiblemente con la ayuda de contraseñas difundidas abiertamente por TV5, [43] anulando la programación de transmisión de los 12 canales de la compañía durante más de tres horas. [44] El servicio solo se restableció parcialmente en las primeras horas de la mañana siguiente y los servicios de transmisión normales se interrumpieron hasta bien entrada la noche del 9 de abril. [44] Varios sistemas administrativos y de soporte internos informatizados, incluido el correo electrónico, también seguían cerrados o eran inaccesibles debido al ataque. [45] [44] Los piratas informáticos también secuestraron las páginas de Facebook y Twitter de TV5Monde para publicar información personal de familiares de soldados franceses que participaban en acciones contra ISIS, junto con mensajes críticos con el presidente François Hollande , argumentando que los ataques terroristas de enero de 2015 fueron "regalos" por su "error imperdonable" de participar en conflictos que "no sirven para nada". [46] [44]
El director general de TV5Monde, Yves Bigot, dijo más tarde que el ataque casi destruyó la empresa; si hubiera tardado más en restablecer las transmisiones, los canales de distribución por satélite probablemente habrían cancelado sus contratos. El ataque fue diseñado para ser destructivo, tanto de los equipos como de la propia empresa, en lugar de para la propaganda o el espionaje, como había sido el caso de la mayoría de los otros ataques cibernéticos. El ataque fue cuidadosamente planeado; la primera penetración conocida en la red fue el 23 de enero de 2015. [47] Los atacantes luego llevaron a cabo un reconocimiento de TV5Monde para comprender cómo transmitía sus señales, y construyeron un software malicioso a medida para corromper y destruir el hardware conectado a Internet que controlaba las operaciones de la estación de televisión, como los sistemas de codificación. Utilizaron siete puntos de entrada diferentes, no todos parte de TV5Monde o incluso en Francia: uno era una empresa con sede en los Países Bajos que suministraba las cámaras controladas a distancia utilizadas en los estudios de TV5. [47] Entre el 16 de febrero y el 25 de marzo, los atacantes recopilaron datos en las plataformas internas de TV5, incluida su Wiki interna de TI , y verificaron que las credenciales de inicio de sesión aún eran válidas. [47] Durante el ataque, los piratas informáticos ejecutaron una serie de comandos extraídos de los registros TACACS para borrar el firmware de los conmutadores y enrutadores . [47]
Aunque el ataque supuestamente procedía del EI, la agencia cibernética francesa le dijo a Bigot que dijera únicamente que los mensajes supuestamente procedían del EI. Más tarde le dijeron que se habían encontrado pruebas de que los atacantes eran el grupo de piratas informáticos rusos APT 28. No se encontró ninguna razón para el ataque a TV5Monde, y se desconoce la fuente de la orden de ataque y la financiación del mismo. Se ha especulado que probablemente se trataba de un intento de probar formas de ciberarmamento. El coste se estimó en 5 millones de euros (5,6 millones de dólares; 4,5 millones de libras esterlinas) en el primer año, seguido de un coste anual recurrente de más de 3 millones de euros (3,4 millones de dólares; 2,7 millones de libras esterlinas) para una nueva protección. La forma de trabajar de la empresa tuvo que cambiar, con la autenticación del correo electrónico, la comprobación de las unidades flash antes de la inserción, etc., en detrimento significativo de la eficiencia para una empresa de medios de comunicación que debe mover información. [48]
La empresa de seguridad root9B publicó un informe sobre Fancy Bear en mayo de 2015 en el que anunciaba su descubrimiento de un ataque de phishing dirigido a instituciones financieras. El informe enumeraba las instituciones bancarias internacionales que fueron atacadas, entre ellas United Bank for Africa , Bank of America , TD Bank y UAE Bank. Según root9B, los preparativos para los ataques comenzaron en junio de 2014 y el malware utilizado "tenía firmas específicas que históricamente han sido exclusivas de una sola organización, Sofacy". [49] El periodista de seguridad Brian Krebs cuestionó la precisión de las afirmaciones de root9B, postulando que los ataques en realidad se habían originado a partir de phishers nigerianos. [50] En junio de 2015, el respetado investigador de seguridad Claudio Guarnieri publicó un informe basado en su propia investigación de un exploit atribuido a SOFACY contra el Bundestag alemán [51] y atribuyó a root9B el haber informado "la misma dirección IP utilizada como servidor de Comando y Control en el ataque contra el Bundestag (176.31.112.10)", y continuó diciendo que, según su examen del ataque al Bundestag, "al menos algunos" indicadores contenidos en el informe de root9B parecían precisos, incluida una comparación del hash de la muestra de malware de ambos incidentes. root9B publicó más tarde un informe técnico que comparaba el análisis de Claudio del malware atribuido a SOFACY con su propia muestra, lo que aumenta la veracidad de su informe original. [52]
En agosto de 2015, Fancy Bear utilizó un exploit de día cero de Java , suplantando a la Electronic Frontier Foundation y lanzó ataques contra la Casa Blanca y la OTAN . Los piratas informáticos utilizaron un ataque de phishing dirigido, dirigiendo correos electrónicos a la URL falsa electronicfrontierfoundation.org. [53] [54]
En agosto de 2016, la Agencia Mundial Antidopaje informó de la recepción de correos electrónicos de phishing enviados a los usuarios de su base de datos que afirmaban ser comunicaciones oficiales de la AMA y solicitaban sus datos de acceso. Tras revisar los dos dominios proporcionados por la AMA, se descubrió que la información de registro y alojamiento de los sitios web coincidía con la del grupo de piratas informáticos ruso Fancy Bear. [55] [56] Según la AMA, algunos de los datos que los piratas informáticos publicaron habían sido falsificados. [57]
Debido a la evidencia de dopaje generalizado por parte de atletas rusos , la AMA recomendó que se prohibiera a los atletas rusos participar en los Juegos Olímpicos y Paralímpicos de Río 2016. Los analistas dijeron que creían que el hackeo fue en parte un acto de represalia contra la atleta rusa denunciante Yuliya Stepanova , cuya información personal fue revelada en la violación. [58] En agosto de 2016, la AMA reveló que sus sistemas habían sido violados, explicando que los piratas informáticos de Fancy Bear habían utilizado una cuenta creada por el Comité Olímpico Internacional (COI) para obtener acceso a su base de datos del Sistema de Administración y Gestión Antidopaje (ADAMS). [59] Luego, los piratas informáticos utilizaron el sitio web fancybear.net para filtrar lo que dijeron que eran los archivos de pruebas de drogas olímpicas de varios atletas que habían recibido exenciones de uso terapéutico, incluida la gimnasta Simone Biles , las tenistas Venus y Serena Williams y la jugadora de baloncesto Elena Delle Donne . [60] Los piratas informáticos se centraron en los atletas a los que la AMA les había concedido exenciones por diversas razones. Las filtraciones posteriores incluyeron a atletas de muchos otros países. [59]
Eliot Higgins y otros periodistas asociados con Bellingcat , un grupo que investiga el derribo del vuelo 17 de Malaysia Airlines sobre Ucrania, fueron el objetivo de numerosos correos electrónicos de phishing. Los mensajes eran avisos de seguridad falsos de Gmail con URL acortadas de Bit.ly y TinyCC. Según ThreatConnect , algunos de los correos electrónicos de phishing se habían originado en servidores que Fancy Bear había utilizado en ataques anteriores en otros lugares. Bellingcat es conocido por haber demostrado que Rusia es culpable del derribo del MH17, y los medios rusos lo ridiculizan con frecuencia. [61] [62]
El grupo atacó a la Junta de Seguridad Holandesa , el organismo que lleva a cabo la investigación oficial sobre el accidente, antes y después de la publicación del informe final de la junta. Configuraron servidores SFTP y VPN falsos para imitar los propios servidores de la junta, probablemente con el propósito de suplantar nombres de usuario y contraseñas. [63] Un portavoz de la DSB dijo que los ataques no tuvieron éxito. [64]
Fancy Bear llevó a cabo ataques de phishing dirigidos a direcciones de correo electrónico asociadas con el Comité Nacional Demócrata en el primer trimestre de 2016. [65] [66] El 10 de marzo, comenzaron a llegar correos electrónicos de phishing que estaban dirigidos principalmente a direcciones de correo electrónico antiguas de miembros del personal de la campaña demócrata de 2008. Una de estas cuentas puede haber proporcionado listas de contactos actualizadas. Al día siguiente, los ataques de phishing se expandieron a las direcciones de correo electrónico no públicas de funcionarios de alto nivel del Partido Demócrata. Las direcciones de Hillaryclinton.com fueron atacadas, pero requerían autenticación de dos factores para acceder. El ataque se redirigió a las cuentas de Gmail el 19 de marzo. La cuenta de Gmail de Podesta fue violada el mismo día, con 50.000 correos electrónicos robados. Los ataques de phishing se intensificaron en abril, [66] aunque los piratas informáticos parecieron volverse repentinamente inactivos durante el día 15 de abril, que en Rusia era un feriado en honor a los servicios de guerra electrónica del ejército. [67] El malware utilizado en el ataque envió datos robados a los mismos servidores que se utilizaron para el ataque del grupo en 2015 al parlamento alemán . [3]
El 14 de junio, CrowdStrike publicó un informe en el que publicitaba el ataque al DNC e identificaba a Fancy Bear como el culpable. Luego apareció un personaje en línea, Guccifer 2.0 , que se atribuyó el mérito exclusivo de la violación de datos. [68]
Otro sofisticado grupo de piratas informáticos atribuido a la Federación Rusa, apodado Cozy Bear , también estaba presente en los servidores del DNC al mismo tiempo. Sin embargo, los dos grupos parecían no tener conocimiento del otro, ya que cada uno robaba independientemente las mismas contraseñas y duplicaba sus esfuerzos. Cozy Bear parece ser una agencia diferente, una más interesada en el espionaje tradicional a largo plazo. [67] Un equipo forense de CrowdStrike determinó que, mientras que Cozy Bear había estado en la red del DNC durante más de un año, Fancy Bear solo había estado allí unas pocas semanas. [3]
Según CrowdStrike, entre 2014 y 2016, el grupo utilizó malware para Android para atacar a las Fuerzas de Cohetes y Artillería del Ejército de Ucrania . Distribuyeron una versión infectada de una aplicación para Android cuyo propósito original era controlar los datos de selección de objetivos para la artillería del obús D-30 . La aplicación, utilizada por oficiales ucranianos, estaba cargada con el software espía X-Agent y publicada en línea en foros militares. CrowdStrike afirmó inicialmente que más del 80% de los obuses D-30 ucranianos fueron destruidos en la guerra, el porcentaje más alto de pérdida de cualquier pieza de artillería en el ejército (un porcentaje que nunca se había informado anteriormente y significaría la pérdida de casi todo el arsenal de la pieza de artillería más grande de las Fuerzas Armadas de Ucrania [69] ). [70] Según el ejército ucraniano, los números de CrowdStrike eran incorrectos y que las pérdidas en armas de artillería "estaban muy por debajo de las informadas" y que estas pérdidas "no tienen nada que ver con la causa declarada". [71] CrowdStrike ha revisado este informe después de que el Instituto Internacional de Estudios Estratégicos (IISS) desmintiera su informe original, alegando que los ataques de malware resultaron en pérdidas de entre el 15 y el 20 % en lugar de la cifra original del 80 %. [72]
El 31 de octubre de 2016, el Grupo de Análisis de Amenazas de Google reveló una vulnerabilidad de día cero en la mayoría de las versiones de Microsoft Windows que es objeto de ataques de malware activos. El 1 de noviembre de 2016, el vicepresidente ejecutivo del Grupo de Windows y Dispositivos de Microsoft, Terry Myerson, publicó en el Blog de Investigación y Respuesta a Amenazas de Microsoft, reconociendo la vulnerabilidad y explicando que una "campaña de phishing de bajo volumen" dirigida a usuarios específicos había utilizado "dos vulnerabilidades de día cero en Adobe Flash y el kernel de Windows de nivel inferior". Microsoft señaló a Fancy Bear como el actor de la amenaza, refiriéndose al grupo por su nombre en código interno STRONTIUM . [73]
En febrero de 2017, el Servicio General de Inteligencia y Seguridad (AIVD) de los Países Bajos reveló que Fancy Bear y Cozy Bear habían intentado varias veces hackear ministerios holandeses, incluido el Ministerio de Asuntos Generales , durante los seis meses anteriores. Rob Bertholee , director del AIVD, dijo en EenVandaag que los hackers eran rusos y habían intentado acceder a documentos secretos del gobierno. [74]
En una reunión informativa con el Parlamento, el Ministro del Interior y de Relaciones con el Reino de los Países Bajos, Ronald Plasterk, anunció que los votos para las elecciones generales holandesas de marzo de 2017 se contarían a mano. [75]
Los funcionarios de la Asociación Internacional de Federaciones de Atletismo (IAAF) declararon en abril de 2017 que sus servidores habían sido pirateados por el grupo "Fancy Bear". El ataque fue detectado por la empresa de ciberseguridad Context Information Security, que identificó que el 21 de febrero se había producido un acceso remoto no autorizado a los servidores de la IAAF. La IAAF declaró que los piratas informáticos habían accedido a las solicitudes de Autorización de Uso Terapéutico , necesarias para utilizar medicamentos prohibidos por la AMA. [76] [77]
En 2017, los investigadores de Trend Micro publicaron un informe que describe los intentos de Fancy Bear de atacar a grupos relacionados con las campañas electorales de Emmanuel Macron y Angela Merkel . Según el informe, atacaron la campaña de Macron con phishing e intentaron instalar malware en su sitio. La agencia de ciberseguridad del gobierno francés ANSSI confirmó que estos ataques tuvieron lugar, pero no pudo confirmar la responsabilidad de APT28. [78] La campaña de Marine Le Pen no parece haber sido el objetivo de APT28, lo que posiblemente indica la preferencia rusa por su campaña. Putin había promocionado anteriormente los beneficios para Rusia si Marine Le Pen fuera elegida. [79]
El informe dice que luego atacaron a la Fundación Konrad Adenauer y a la Fundación Friedrich Ebert , grupos asociados con la Unión Demócrata Cristiana de Angela Merkel y el Partido Socialdemócrata de la oposición , respectivamente. Fancy Bear instaló servidores de correo electrónico falsos a fines de 2016 para enviar correos electrónicos de phishing con enlaces a malware. [80]
El 10 de enero de 2018, el personaje en línea "Fancy Bears Hack Team" filtró lo que parecían ser correos electrónicos robados del Comité Olímpico Internacional (COI) y del Comité Olímpico de los Estados Unidos , fechados entre fines de 2016 y principios de 2017, que se filtraron en aparente represalia por la prohibición del COI de los atletas rusos de los Juegos Olímpicos de Invierno de 2018 como sanción por el programa sistemático de dopaje de Rusia . El ataque se parece a las filtraciones anteriores de la Agencia Mundial Antidopaje (AMA). No se sabe si los correos electrónicos son completamente auténticos, debido al historial de Fancy Bear de salar correos electrónicos robados con desinformación. El modo de ataque tampoco se conocía, pero probablemente fue phishing. [81] [82]
Los expertos en seguridad cibernética también han afirmado que los ataques parecen haber tenido como objetivo a la empresa embotelladora de pruebas de drogas para deportes profesionales conocida como Berlinger Group. [83]
La Confederación Sueca de Deportes informó que Fancy Bear fue responsable de un ataque a sus computadoras, cuyo objetivo eran los registros de las pruebas de dopaje de los atletas. [84]
La empresa de software Microsoft informó en agosto de 2018 que el grupo había intentado robar datos de organizaciones políticas como el Instituto Republicano Internacional y los centros de estudios Hudson Institute . Los ataques fueron frustrados cuando el personal de seguridad de Microsoft obtuvo el control de seis dominios de red . [85] En su anuncio, Microsoft informó que "actualmente no tenemos evidencia de que estos dominios se usaran en ningún ataque exitoso antes de que la DCU transfiriera el control de ellos, ni tenemos evidencia que indique la identidad de los objetivos finales de ningún ataque planificado que involucre a estos dominios". [86]
Según el informe de agosto de 2018 de Associated Press , Fancy Bear había estado apuntando durante años a la correspondencia por correo electrónico de los funcionarios del Patriarcado Ecuménico de Constantinopla encabezado por el Patriarca Ecuménico Bartolomé I. [ 87] La publicación apareció en un momento de mayores tensiones entre el Patriarcado Ecuménico, la más importante de todas las Iglesias Ortodoxas Orientales , y la Iglesia Ortodoxa Rusa (el Patriarcado de Moscú) sobre la cuestión de la plena independencia eclesiástica ( autocefalia ) para la Iglesia Ortodoxa en Ucrania , solicitada por el gobierno ucraniano. La publicación citó a expertos que dijeron que la concesión de la autocefalia a la Iglesia en Ucrania erosionaría el poder y el prestigio del Patriarcado de Moscú y socavaría sus reclamos de jurisdicción transnacional. [87] Los ataques cibernéticos también tuvieron como objetivo a cristianos ortodoxos en otros países, así como a musulmanes, judíos y católicos en los Estados Unidos, Ummah, un grupo paraguas para musulmanes ucranianos, el nuncio papal en Kiev y Yosyp Zisels, quien dirige la Asociación de Organizaciones y Comunidades Judías de Ucrania. [87]
En octubre de 2018, un gran jurado federal de Estados Unidos hizo pública una acusación formal contra siete hombres rusos, todos ellos oficiales del GRU, en relación con los ataques. La acusación formal establece que desde diciembre de 2014 hasta al menos mayo de 2018, los oficiales del GRU conspiraron para llevar a cabo "intrusiones informáticas persistentes y sofisticadas que afectaron a personas estadounidenses, entidades corporativas, organizaciones internacionales y sus respectivos empleados ubicados en todo el mundo, en función de su interés estratégico para el gobierno ruso". [88] [89] El Departamento de Justicia de Estados Unidos declaró que la conspiración, entre otros objetivos, tenía como objetivo "publicitar información robada como parte de una campaña de influencia y desinformación diseñada para socavar, tomar represalias y deslegitimar de otro modo" los esfuerzos de la Agencia Mundial Antidopaje , una organización internacional antidopaje que había publicado el Informe McLaren , un informe que expuso el dopaje extensivo de atletas rusos patrocinados por el gobierno ruso . [88] Los acusados fueron acusados de piratería informática , fraude electrónico , robo de identidad agravado y lavado de dinero . [88]
En febrero de 2019, Microsoft anunció que había detectado ataques de phishing de APT28, dirigidos a empleados del German Marshall Fund , Aspen Institute Germany y el German Council on Foreign Relations . [90] [91] Los piratas informáticos del grupo supuestamente enviaron correos electrónicos de phishing a 104 direcciones de correo electrónico en toda Europa en un intento de obtener acceso a las credenciales de los empleadores e infectar sitios con malware. [92] [93]
En 2020, la Agencia Nacional de Seguridad Cibernética y de la Información checa informó sobre un incidente de ciberespionaje en una institución estratégica no identificada, posiblemente el Ministerio de Asuntos Exteriores , [94] muy probablemente llevado a cabo por Fancy Bear. [95]
En agosto de 2020, el Storting noruego informó de un "ciberataque significativo" a su sistema de correo electrónico. En septiembre de 2020, la ministra de Asuntos Exteriores de Noruega , Ine Marie Eriksen Søreide , acusó a Rusia del ataque. El Servicio de Seguridad de la Policía de Noruega concluyó en diciembre de 2020 que "los análisis muestran que es probable que la operación haya sido realizada por el actor cibernético al que se hace referencia en fuentes abiertas como APT28 y Fancy Bear", y que "se ha extraído contenido sensible de algunas de las cuentas de correo electrónico afectadas". [96]
Fancy Bear emplea métodos avanzados acordes con las capacidades de los actores estatales. [97] Utilizan correos electrónicos de phishing selectivo , sitios web de descarga de malware camuflados en fuentes de noticias y vulnerabilidades de día cero . Un grupo de investigación de ciberseguridad observó que en 2015 habían utilizado seis exploits de día cero diferentes, una hazaña técnica que requeriría que un gran número de programadores buscaran vulnerabilidades previamente desconocidas en software comercial de primera línea. Esto se considera una señal de que Fancy Bear es un programa dirigido por el estado y no una pandilla o un hacker solitario. [1] [98]
Uno de los objetivos preferidos de Fancy Bear son los servicios de correo electrónico basados en la web. Un ataque típico consiste en que los usuarios de correo electrónico basados en la web reciben un correo electrónico solicitando urgentemente que cambien sus contraseñas para evitar ser pirateados. El correo electrónico contendrá un enlace a un sitio web falso que está diseñado para imitar una interfaz de correo web real, los usuarios intentarán iniciar sesión y sus credenciales serán robadas. La URL a menudo se oculta como un enlace bit.ly acortado [99] para pasar los filtros de spam . Fancy Bear envía estos correos electrónicos de phishing principalmente los lunes y viernes. También envían correos electrónicos que supuestamente contienen enlaces a artículos de noticias, pero en su lugar enlazan a sitios de descarga de malware que instalan kits de herramientas en la computadora del objetivo. [1] Fancy Bear también registra dominios que se parecen a sitios web legítimos, luego crea una falsificación del sitio para robar credenciales de sus víctimas. [68] Se sabe que Fancy Bear retransmite su tráfico de comandos a través de redes proxy de víctimas que ha comprometido previamente. [100]
El software que Fancy Bear ha utilizado incluye ADVSTORESHELL, CHOPSTICK, JHUHUGIT y XTunnel. Fancy Bear utiliza una serie de implantes, incluidos Foozer, WinIDS, X-Agent , X-Tunnel, Sofacy y los droppers DownRange. [68] Basándose en los tiempos de compilación, FireEye concluyó que Fancy Bear ha actualizado constantemente su malware desde 2007. [100] Para evitar la detección, Fancy Bear regresa al entorno para cambiar sus implantes, cambia sus canales de comando y control y modifica sus métodos persistentes. [97] El grupo de amenazas implementa técnicas de contraanálisis para ofuscar su código . Añaden datos basura a las cadenas codificadas, lo que dificulta la decodificación sin el algoritmo de eliminación de basura. [100] Fancy Bear toma medidas para evitar el análisis forense de sus ataques, restableciendo las marcas de tiempo en los archivos y borrando periódicamente los registros de eventos. [68]
Según una acusación formal del fiscal especial de los Estados Unidos, el X-Agent fue "desarrollado, personalizado y monitoreado" por el teniente capitán del GRU Nikolay Yuryevich Kozachek. [4]
Se sabe que Fancy Bear adapta los implantes a los entornos de destino, por ejemplo, reconfigurándolos para que utilicen servidores de correo electrónico locales. [100] En agosto de 2015, Kaspersky Lab detectó y bloqueó una versión del implante ADVSTORESHELL que se había utilizado para atacar a contratistas de defensa. Una hora y media después del bloqueo, los actores de Fancy Bear habían compilado y distribuido una nueva puerta trasera para el implante. [29]
La Unidad 26165 participó en el diseño del plan de estudios en varias escuelas públicas de Moscú, incluida la Escuela 1101. [101]
Fancy Bear a veces crea personajes en línea para sembrar desinformación, desviar culpas y crear una negación plausible de sus actividades. [102]
Un personaje en línea que apareció por primera vez y se atribuyó la responsabilidad de los ataques al DNC el mismo día en que se conoció la historia de que Fancy Bear era el responsable. [103] Guccifer 2.0 afirma ser un hacker rumano , pero cuando fue entrevistado por la revista Motherboard , le hicieron preguntas en rumano y parecía no poder hablar el idioma. [104] Algunos documentos que han publicado parecen ser falsificaciones improvisadas a partir de material de ataques anteriores e información disponible públicamente, y luego aderezadas con desinformación. [104]
Un sitio web creado para filtrar documentos tomados en los ataques a la AMA y la IAAF fue presentado con un breve manifiesto fechado el 13 de septiembre de 2016, proclamando que el sitio es propiedad del "equipo de hackers de Fancy Bears", que dijo es un "equipo de hackers internacional" que "defiende el juego limpio y el deporte limpio". [105] El sitio se responsabilizó de hackear a la AMA y prometió que proporcionaría "pruebas sensacionales de atletas famosos que tomaron sustancias dopantes", comenzando con el equipo olímpico de EE. UU., que dijo "deshonró su nombre con victorias manchadas". [105] La AMA dijo que algunos de los documentos filtrados bajo este nombre eran falsificaciones y que los datos habían sido cambiados. [106] [105]
Una cuenta de Twitter llamada "Anonymous Poland" (@anpoland) se atribuyó la responsabilidad del ataque a la Agencia Mundial Antidopaje [107] y publicó datos robados del Tribunal de Arbitraje Deportivo , un objetivo secundario. [108] [109] ThreatConnect apoya la opinión de que Anonymous Poland es un títere de Fancy Bear, y señala el cambio de un enfoque histórico en la política interna. Un video de captura de pantalla subido por Anonymous Poland muestra una cuenta con configuración de idioma polaco, pero el historial de su navegador mostró que habían realizado búsquedas en Google.ru (Rusia) y Google.com (EE. UU.), pero no en Google.pl (Polonia). [108]
y está recopilando información en nombre del gobierno ruso.
Tácticas rusas de FANCY BEAR
Evaluamos que lo más probable es que APT28 esté patrocinado por el gobierno ruso.
los que los piratas informáticos envían correos electrónicos falsos destinados a engañar a las personas para que visiten sitios web que parecen auténticos pero que, de hecho, les permiten infiltrarse en los sistemas informáticos corporativos de sus víctimas— estaban vinculados al grupo de piratas informáticos APT28, una unidad de inteligencia militar rusa que interfirió en las elecciones estadounidenses de 2016. El grupo tenía como objetivo a más de 100 empleados europeos del German Marshall Fund, el Aspen Institute Germany y el German Council on Foreign Relations, grupos influyentes que se centran en cuestiones de política transatlántica.
Los ataques contra estas organizaciones, que revelamos con su permiso, apuntaron a 104 cuentas pertenecientes a empleados de la organización ubicados en Bélgica, Francia, Alemania, Polonia, Rumania y Serbia. MSTIC continúa investigando las fuentes de estos ataques, pero estamos seguros de que muchos de ellos se originaron en un grupo al que llamamos Strontium. Los ataques ocurrieron entre septiembre y diciembre de 2018. Notificamos rápidamente a cada una de estas organizaciones cuando descubrimos que eran el objetivo para que pudieran tomar medidas para proteger sus sistemas, y tomamos una variedad de medidas técnicas para proteger a los clientes de estos ataques.