El miércoles 13 de septiembre, entidades públicas y empresas colombianas, chilenas y argentinas se vieron afectadas por un ciberataque. La multinacional IFX Networks, contratada para proveer soluciones de telecomunicaciones, fue vulnerada, lo que impactó a sus clientes.
Operaciones del Mando Unificado Ciber
Este jueves es el segundo día de operaciones del Mando Unificado Ciber del Gobierno de Colombia para atender las consecuencias del ataque cibernético. El Ministerio de Tecnologías de la Información emitió un comunicado al respecto.
IFX Networks y su impacto
La compañía IFX Networks, conocida como Netglobalis en Chile, es una proveedora internacional de soluciones de telecomunicaciones con presencia en 17 países. Es la principal proveedora de telecomunicaciones en Colombia.
CNN solicitó a la empresa un comentario para conocer los avances desde el ataque, pero no recibió respuesta.
Afectación a infraestructura crítica
Un ataque a infraestructuras críticas de Estado puede afectar la vida diaria de millones de personas que necesitan acceso urgente a servicios de salud y justicia. Algunos de los portales afectados son la Superintendencia de Salud y el Consejo Superior de la Judicatura, que decidieron suspender operaciones y trámites judiciales en todo el país desde este jueves hasta el miércoles de la semana próxima.
No solo grandes entidades del Estado están siendo afectadas. Pequeñas empresas que funcionan gracias a software en la nube también tienen sus operaciones paradas debido al incidente con IFX Networks.
Ministro Lizcano y el alcance del ataque
El ministro del Ministerio de Tecnologías de la Información y Comunicaciones, Mauricio Lizcano, anunció en X que son más de 800 las organizaciones afectadas por este ataque, no solo en Colombia, sino también en Chile y Argentina.
El ataque y su naturaleza
El ataque corresponde a un ransomware. No solo atacaron IFX Networks en Colombia, secuestrando los datos que tenía la empresa en sus servidores y en nubes, lo que afectó empresas y entidades importantes de varios países. El acceso a la justicia está comprometido, pero el tema más grave tiene que ver con el acceso a servicios de salud a través de la Superintendencia de Salud.
¿Qué pasó?
Como IFX es un proveedor internacional de servicios gestionados, otros clientes podrían ser víctimas de nuevos ataques en consecuencia del incidente. Este fenómeno se conoce como Ataque a la Cadena de Suministro (Supply Chain Attack).
Aún no es posible confirmar los autores del ataque, ya que falta evidencia concluyente. Sin embargo, el ataque parece estar relacionado al Ransomware del grupo autodenominado «RansomHouse», aunque diversos medios lo han bautizado como «MARIO» por la siguiente imagen.
Posible vinculación con RansomHouse
La imagen circula en diferentes chats privados y muestra que los autores del ataque son el grupo mencionado, conocido también por ser los autores del ataque a Sanitas. Ante la falta de información oficial, diversos medios han creado una lista de sitios afectados y su estado de situación.
Se cree que RansomHouse se lanzó en diciembre de 2021 con su primera víctima, supuestamente la Autoridad de Juegos y Licores de Saskatchewan (SLGA), que ahora figura en el sitio de extorsión. Los ataques han continuado desde entonces, incluyendo empresas como AMD, de la que se robaron 450 GB de datos.
En un ataque reciente a un hospital Clinic de Barcelona, se vió obligado a desprogramar 150 operaciones por el ciberataque. BleepingComputer logró contactar con los miembros de RansomHouse, que explicaron que ni siquiera habían intentado contactar con AMD porque lo consideraron una pérdida de tiempo.
En un informe publicado por Cyberint, los analistas encontraron publicaciones de Telegram promocionando RansomHouse en el canal de Telegram de Lapsus$. Esto indica que los actores de amenazas están interesados en vender datos a otros actores de amenazas, así como a la víctima.
RansomHouse se autodefine como «una comunidad de mediadores profesionales». La actividad del grupo es distinta a la de otros grupos de ciberatacantes. Según el informe de mayo de 2022, este grupo podría estar formado por expertos en ciberseguridad cansados de intentar obtener recompensas por detectar fallos de seguridad en empresas y entidades.
Los responsables de RansomHouse añaden que las empresas afectadas que se niegan a pagar por este tipo de trabajo tendrán que hacer frente a costes legales y de reputación. Afirman que en esos casos no solo divulgarán la información en su sitio web o canal oficial de Telegram, sino que también llamarán la atención de periodistas, público y terceros sobre el problema.
Vector inicial del ataque
El vector inicial de la infección habrían sido correos con archivos adjuntos en formato comprimido (ZIP, RAR, ACE, GZ, etc) que provenían desde diferentes locaciones de proveedores internacionales.
Respuesta de los CSIRT
Los CSIRT de los países afectados han publicado información y la siguiente infografía sobre el ataque y el vector de compromiso.
El grupo aún no ha publicado en su sitio web «oficialmente» el nombre de la víctima IFX, pero es porque suele disponibilizar los datos robados a través de Torrent y nuevos dominios en la Darknet. Es decir que es de esperar que lo hagan en los próximos días y el impacto actual podría ser mucho mayor del esperado.
Hashes SHA-256 de archivos adjuntos
- 02fab97fe9b0e2e94abd4917fb5bc88d21445760ee37971b919f47c95a01f195
- 0cbb6c8b7bf0f108b82ac808211852dac62709ceefb84d8e93b2ef912428d24b
- 1ebb93102f8b08f724aad0bd312006450853d65266c0558a88da622d75c67bd8
- 23e012a59ae4794e05bd5de9b353f788d9b9ce7045ca27ff5a93b7b922746db4
- 2775248702bf6bfc3b01f77ace8b5be9f5281eb9e00a6b92323ea4cdca78b2ab
- 33fa7ababe331e58c82f5ca9423f269d598f321c3e8f700373775bc6c993992d
- 389f593eff1b5bc4c552f9765ac8b5070f910428b430a4fc16ca6f8379128a52
- 4b922b87034981af8f69326f64789363ef2b468fc58ddad34c16c5c6bd82e3ca
- 4cedb439d35ae9db6b9f25b013c9d7c0bcee78990305bc0764d245c70b0c86b0
- 4e2543aba8686312bc8212b9c799dc233f91d017b5767e91c5fae744d75d152b
- 5116d89d1fbc3cf87e842b52acd91b70d1cf5a9cd68157fc9ecf9d1b8d3c498c
- 5f4e4fbde7ed003dc34954ee301977f697de1cd2d52beafd898023797ab47255
- 65d09004525ac8e3d844232e6f1f99ec26bcf3a24447ee4a55ef0cf805ca0480
- 65f0e0590469268511ed7b779808f4178386b7d81ad0447d3ae9b5260a42a4d2
- 67cc5fdee7630da23e8b6b63bd6da843cd7ea1e0fe05f47c2dc57bab10716342
- 692d2b764da8c746e7abdcb6d09fc5fa92de2729ddab5fbaa22c42155b9df273
- 6bd884cbbae349fb1933fb97280d2d84a2b71f8adf6c9feb363941c04bb40ef4
- 71daea6f6dedd5094544dec50a02050559328113afe48df41c93a42ce56e855c
- 757e11cf6260b6d84410f18cf27cfb50447e15059fffa296add2469967182d57
- 7e80eb8594da599e745dc646a4fe02aca27c56457aca6a9c35f387c281202c9c
- 84f5938bf6b3849d4055c64663e26912dd368506a5ca784ebccdfe39cf6cde10
- 878a4f96c80d638d087347f2f4d9fd09df01b3bff20ce362c9fff16bca94e5bb
- 95f7f656ee4dee95a46e971797962bc365f9289923a936d2a9b8190bed88b611
- 976d036150ddef649c0fdffa89bfcaa19f5743e98e45d9cdccb76b66632c8ee5
- 9b82331902103e80ae6cdda02fa33bdd00cba59bac68c5d6f1109d1b93020e23
- a33d4b647cd9a415a96aa0aaa97bbaf2abf2817cf5eef4faf812a3216e9d1a9e
- a3d4f2e5e5c91a17786c7c3cea524a17d513735550b30b3d4494fc11d6e1135d
- b38df877b327db04dfa2bea03a94ceec82b1942560acfb6c87256be88f707bb2
- c3241d3e58071c903d635550d9dd35da14d3602a349c716527e4a9f147b7e4be
- c3333735a22b46fa116054c15ea6f273bbbcedef13b633d0b7721d91a57ba2b4
- c53c03a021b14ae039a3115115fdd552892ad3e2e19698492c14121dd582ee07
- ca91a8dd6f50202cdc5ed444cb1c1f447f2dc108f2c276658f337c93259fb1ce
- d109452c99cd984de885f08d3be104145f9d4f5396c2001fd6e048c5ffcbfb3d
- d18e005fa449ab6ac3b7febb25dd6a05e16dc7a87f684ed49d6c093a2c61e6c7
- d8cbbb4144d9b4350b367fa89b250b4a35933b77c00d36b3e885f2aa17e0aaff
- d9507b9760fb0ab4ad0a6ca6e92bdbb16cccd5ce1d5e60cf158dc21114092ff4
- e01ebff50cac856b458473e4e7b47ef942fd93d4327ff8f56bd95a43d954bb3a
- e55e03e26e7a9c71f639f9aaf6a3c5dfd0138fa4578f9f86d7fce950027d6d2e
- e79c26ed16f145a7282b54b3137f09e4100495c7d06c0ea73052762d0877dbd3
- e943753978e4c47b5bca140cbcc1e669b7d900fbe3e55fd37aa1b4925c11fd93
- eb797eaf04038f3b1330dc4cf7dbfcaca0758a0340082fa223f5399209acb984
- ed30c09693df6de5d1ceff9395eb0c8662ffbcd5f8fdaf641f9d4df9e77910de
- f74ad88b84c59f91ebb58052bb7b9a1238a93f86f19f6d9015839d38d26f4364
- fbc3fb202e26f02612903679f57dd9406546cb79e18d2a0fb31459a276aabe93
- fd6ade6040d775af6ddf8c835a1f7b32bb17ccaf5ca227af55df9accfc75329d
Información en proceso…