Vivimos tiempos complicados para la seguridad de las que, hasta no hace mucho, eran consideradas infraestructuras seguras. Centrales eléctricas, sistemas de abastecimiento de agua potable, servicios de transporte de personas y mercancías o medios de comunicación han pasado de presuponerse siempre disponibles a estar sujetos a posibles ciberataques y, por ende, provocar que dejen de estar disponibles.
Avisos que no cesan de repetirse
Entre esta situación de preocupación no es de extrañar que se produzcan anuncios como el que hizo hace unos días el Departamento de Seguridad Nacional (DHS) de los Estados Unidos, donde se avisaba de que se estaban observando ataques a departamentos gubernamentales y empresas de sectores como el energético, aviación, aguas potables y otras infraestructuras críticas.
Este aviso fue enviado por correo electrónico a todas las empresas y departamentos que pudieran ser posibles víctimas, ya que se habían estado observando ataques que tenían a estos sectores como objetivos al menos desde mayo de 2017, ataques que en alguna ocasión habían tenido éxito.
También debemos tener en cuenta que no siempre se elige como objetivo a los sistemas que conforman una infraestructura crítica, sino que aquellas empresas que actúan como proveedores también son un objetivo muy apetecible para los atacantes, puesto que pueden ser usados como posibles puertas de entrada a las redes de las infraestructuras críticas.
Según el DHS, este tipo de campañas siguen activas, y si bien se sospecha de ataques con una financiación de algún estado, las atribuciones de este tipo de incidentes siempre resultan peligrosas si no se cuentan con las pruebas necesarias.
Vectores de infección
Según la investigación llevada a cabo, hasta el momento se han identificado varios puntos clave en estos ataques. Para empezar, todo apunta a que los objetivos han sido cuidadosamente elegidos en lugar de ir probando al azar hasta encontrar sistemas vulnerables. Esta selección de objetivos se ha realizado mediante la recopilación de información desde fuentes abiertas como las webs de esas empresas, información que buscaba recopilar datos acerca de la configuración de las redes y los sistemas objetivos.
Se llegó incluso a descargar y ampliar fotografías de empleados publicadas en sitios web corporativos para obtener información de los sistemas de control que se veían al fondo de esas fotografías, algo que demuestra lo críticos que pueden llegar a ser algunos datos que normalmente se pasan por alto.
Además, se usaron técnicas bien conocidas para conseguir la ejecución de código en los sistemas objetivo. Una de ellas consiste en el envío de documentos de Microsoft Office y PDF como ficheros adjuntos a correos electrónicos dirigidos especialmente a ciertos empleados, consiguiendo ejecutar código gracias a vulnerabilidades y funcionalidades como la ejecución de macros.
Los dominios comprometidos por los atacantes también se utilizaron en este tipo de ataques, consiguiendo que las víctimas accedieran a dominios de confianza que habían sido modificados para descargar código malicioso aprovechando alguna vulnerabilidad en el sistema. Se calcula que aproximadamente la mitad de las webs comprometidas estaban relacionadas con publicaciones sobre sistemas de control industrial o infraestructuras críticas.
Conclusión
No descubrimos nada nuevo si decimos que este tipo de ataques van a seguir produciéndose con más frecuencia a corto y medio plazo, y no es precisamente arriesgado afirmarlo categóricamente, puesto que hasta que se cambien conceptos arraigados durante décadas en este sector va a ser difícil protegerlo de ataques cada vez más avanzados.
Es por eso necesario adoptar las medidas necesarias para que la seguridad en los sistemas industriales que gobiernan estas infraestructuras críticas y miles de empresas en todo el mundo sea considerada igual de importante que otros aspectos como la disponibilidad. Para ello hace falta un cambio de paradigma si no queremos ver cómo los atacantes se encargan de provocar incidentes cada vez más graves que pueden tener consecuencias desastrosas.