Los ataques energéticos daneses sugieren que apuntan a infraestructuras más críticas

En mayo, 22 organizaciones del sector energético danés se vieron comprometidas en una ola de ataques vinculados en parte con la APT rusa Sandworm.

Un nuevo informe de la organización danesa sin fines de lucro de seguridad de infraestructura crítica SectorCERT describe varios grupos de atacantes que explotan varias vulnerabilidades críticas en los dispositivos de firewall Zyxel, incluidos dos de día cero, para ingresar a máquinas industriales y «aislar» algunos objetivos y a ellos del resto para aislar la red nacional.

Algunas, pero no todas, las infracciones involucraron comunicaciones con servidores que se sabe que utiliza Sandworm, un grupo temido. muchos ataques a la red anteriores.

Pero no son sólo las APT a nivel estatal las que apuntan al sector energético. Un informe actual de la empresa de ciberseguridad Resecurity describe un fuerte aumento de los ataques al sector energético por parte de grupos cibercriminales, que también parecen haber desempeñado un papel en los ataques en Dinamarca.

«Las APT de los estados-nación representan la mayor amenaza para la energía, ya que las agencias de inteligencia extranjeras las utilizan como herramienta para influir en las economías y la seguridad nacional de los países», dijo Gene Yoo, director ejecutivo de Resecurity. Sin embargo, añade que “los ciberdelincuentes también desempeñan un papel importante en esto, ya que normalmente obtienen recompensas limitadas al comprometer a empleados y operadores, incluidos los ingenieros de la cadena de suministro”.

la primera ola

A finales de abril, Zyxel, una empresa de equipos de comunicaciones, ha descubierto una vulnerabilidad de inyección de comandos Impacto en el firmware del firewall y del dispositivo VPN. CVE-2023-28771que permitía a cualquier atacante crear mensajes para ejecutar comandos remotos y no autorizados del sistema operativo, recibió una calificación CVSS crítica de 9,8.

Muchas organizaciones involucradas en el funcionamiento de la red eléctrica danesa utilizaron firewalls Zyxel como amortiguador entre Internet y los sistemas de control industrial (los sistemas que gestionan la confiabilidad) y los dispositivos críticos para la seguridad. SectorCERT recordó: “Era el llamado peor escenario”.

Dos semanas después, el 11 de mayo, las gallinas volvieron a casa para descansar. “Los atacantes sabían de antemano a quién querían atacar. Ningún disparo falló en el objetivo”, afirmó SectorCERT. Unas 11 empresas de energía se vieron inmediatamente comprometidas, exponiendo la infraestructura crítica a los atacantes. Los atacantes no pudieron hacerse con el control de otras cinco organizaciones.

Con la ayuda de las autoridades policiales, las once empresas en peligro fueron aseguradas hasta altas horas de la noche. Pero aparentemente otros atacantes lo intentaron apenas 11 días después.

Ataques más y más sofisticados

Esta vez, después de que la vulnerabilidad inicial estuvo bajo control, los atacantes utilizaron como armas dos días cero: CVE-2023-33009 Y CVE-2023-33010Ambos errores de desbordamiento del búfer 9.8 “críticos” afectan exactamente a los mismos firewalls.

Lanzaron ataques contra varias empresas del sector energético del 22 al 25 de mayo, utilizando varias cargas útiles diferentes, incluida una herramienta DDoS y la variante Mirai Moobot. SectorCERT estimó que “los atacantes probaron diferentes cargas útiles para ver cuál funcionaba mejor, razón por la cual se descargaron varias diferentes”.

Durante este período, varios destinos actuaron como “isla”, aislados del resto de la red nacional, por consejo de las autoridades o simplemente por precaución.

Y en algunos de estos casos, se transmitió un único paquete de red desde servidores que se sabe que están asociados con Sandworm. Rusia en particular lo logró otras operaciones encubiertas en Dinamarca Casi al mismo tiempo. Sin embargo, SectorCERT no proporcionó una atribución definitiva.

Los ciberdelincuentes se están involucrando

Si bien no tienen precedentes en Dinamarca, los ataques de los Estados-nación a empresas energéticas clave no son nada nuevo a escala global.

Yoo recuerda: “Hemos visto varios ataques selectivos desde Corea del Norte e Irán dirigidos al sector de la energía nuclear, particularmente con el objetivo de obtener y acceder a propiedad intelectual e información personal sensible, así como también penetrar la cadena de suministro”.

Pero no se trata sólo de las APT-estado-nación. El 30 de mayo, una semana después de la publicación de los dos días cero, SectorCERT señaló que «los intentos de ataque a la infraestructura crítica de Dinamarca aumentaron explosivamente, particularmente desde direcciones IP en Polonia y Ucrania». Ahora todos han recibido una lluvia de balas, incluidos los cortafuegos que no eran vulnerables”.

«Ven el alto riesgo y la gran recompensa que conlleva», dijo Drew Schmitt, líder de práctica de GuidePoint Security, sobre los ciberdelincuentes. “A medida que a más grupos les guste Alphv, Lockbit y otros A medida que los grupos de ransomware continúan atacando con éxito el sector energético, cada vez más grupos de ransomware se dan cuenta del beneficio potencial que supone atacar e influir en este tipo de organizaciones. Además, las víctimas del sector energético dan mucha “credibilidad callejera” a los grupos que atacan con éxito a estas organizaciones y salen impunes.

Como ha demostrado Dinamarca, estos ataques sólo pueden detenerse si se combinan una vigilancia y una respuesta eficaces con una asociación entre las empresas y las fuerzas del orden. «En última instancia, este es un problema que debe abordarse de manera integral y coordinada entre múltiples equipos y herramientas», concluye Schmitt.