Un grupo delictivo ruso, identificado como SandWorm, se ha relacionado con un ataque a las redes estatales de Ucrania. Durante el incidente, los atacantes utilizaron el programa WinRar para destruir datos en dispositivos gubernamentales.
Acceso mediante cuentas VPN comprometidas
El Equipo de Respuesta a Emergencias Informáticas del Gobierno de Ucrania (CERT-UA) informó que los delincuentes informáticos rusos accedieron a sistemas críticos en las redes estatales de Ucrania mediante cuentas VPN comprometidas. Estas cuentas no estaban protegidas con autenticación multifactor, lo que facilitó el acceso.
Uso de scripts para la eliminación de datos
Una vez dentro de la red, los atacantes emplearon scripts que borraron archivos en máquinas Windows y Linux. En sistemas Windows, utilizaron un script BAT denominado RoarBat, el cual busca discos y directorios específicos para tipos de archivos como doc, docx, rtf, txt, xls, xlsx, ppt, pptx, vsd, vsdx, pdf, png, jpeg, jpg, zip, rar, 7z, mp4, sql, php, vbk, vib, vrb, p7s, sys, dll, exe, bin y dat. Los archivos encontrados se comprimen con el programa WinRAR.
El ataque incluyó la opción de línea de comandos «WinRar -df», que elimina automáticamente los archivos a medida que se archivan. El archivo comprimido también se elimina, lo que dificulta su recuperación.
Distribución mediante políticas de grupo
CERT-UA indicó que RoarBat se ejecutó a través de una tarea programada creada y distribuida centralmente a los dispositivos en el dominio de Windows mediante políticas de grupo.
Ataque en sistemas Linux con script Bash
En los sistemas Linux, los actores de amenazas usaron un script Bash que empleó la utilidad dd para sobrescribir los tipos de archivos de destino con cero bytes. Este método borra el contenido de los archivos, lo que hace muy improbable su recuperación mediante herramientas como dd.
El material indica que tanto el comando dd como WinRar son programas legítimos, posiblemente utilizados por los atacantes para eludir la detección por parte del software de seguridad.
Relación con un incidente previo
CERT-UA señaló que el incidente es similar a otro ataque destructivo que afectó a la agencia de noticias estatal ucraniana Ukrinform en enero de 2023, también atribuido al grupo SandWorm.
Recomendaciones para mejorar la seguridad
CERT-UA recomienda que todas las organizaciones críticas del país reduzcan su superficie de ataque, corrijan las fallas, deshabiliten los servicios innecesarios, limiten el acceso a las interfaces de administración y controlen el tráfico y los registros de su red.
Como siempre, las cuentas VPN que permiten el acceso a redes corporativas deben protegerse con autenticación multifactor.