Los ciberataques de Hamás cesaron después del ataque terrorista del 7 de octubre. ¿Pero por qué?

Los actores de amenazas cibernéticas vinculados a Hamas parecen haber suspendido sus actividades desde el ataque terrorista del 7 de octubre en Israel, desconcertando a los expertos.

Las guerras combinadas serán algo obsoleto en 2024. Como dijo Mandiant. en un informe recientemente publicadoLas operaciones cibernéticas se han convertido en una “herramienta preferida” para cualquier nación o grupo aliado nacional en todo el mundo involucrado en conflictos prolongados, ya sean de naturaleza política, económica o militar. La invasión rusa de Ucrania –precedida y apoyada por oleadas históricas de ciberdestrucción, espionaje y desinformación– es, por supuesto, el resultado final.

No es así en Gaza. Si el manual actual es apoyar una guerra cinética que requiere un uso intensivo de recursos con una ciberguerra de bajo riesgo y baja inversión, Hamás ha descartado el manual.

“Lo que vimos a lo largo de septiembre de 2023 fue una actividad de ciberespionaje muy típica relacionada con Hamás: sus actividades fueron muy consistentes con lo que hemos visto durante años”, dijo Kristen Dennesen, analista de inteligencia de amenazas del Grupo de Análisis de Amenazas (DAY) de Google. una conferencia de prensa esta semana. “Esta actividad continuó hasta poco antes del 7 de octubre, momento en el que no hubo cambios ni aumentos. Y desde entonces no hemos visto ninguna actividad significativa de estos actores”.

El hecho de no aumentar los ciberataques antes del 7 de octubre podría interpretarse como estratégico. Pero ¿por qué Hamás (independientemente de sus seguidores) ha cerrado sus operaciones cibernéticas en lugar de utilizarlas para apoyar su esfuerzo bélico, Dennesen admitió: «No damos ninguna explicación de por qué, porque no lo sabemos».

Hamás antes del 7 de octubre: ‘BLACKATOM’

Los ciberataques típicos del nexo de Hamás incluyen «campañas masivas de phishing para difundir malware o robar datos de correo electrónico», dijo Dennesen, así como software espía móvil a través de varias puertas traseras de Android introducidas mediante phishing. «Y finalmente en términos de sus objetivos: ataques muy sostenidos contra Israel, Palestina, sus vecinos regionales en Medio Oriente, así como Estados Unidos y Europa», explicó.

Para un estudio de caso de cómo se ve esto, considere BLACKATOM, uno de los tres principales actores de amenazas afiliados a Hamas, junto con BLACKSTEM (también conocido como MOLERATS, Extreme Jackal) y DESERTVARNISH (también conocido como UNC718, Renegade Jackal, Desert Falcons, Arid Viper).

En septiembre, BLACKATOM lanzó una campaña de ingeniería social dirigida a los desarrolladores de software de las Fuerzas de Defensa de Israel (FDI) y las industrias aeroespacial y de defensa israelíes.

El truco consistía en hacerse pasar por empleados de la empresa en LinkedIn y enviar mensajes a los destinatarios con ofertas de trabajo independientes falsas. Después del contacto inicial, los reclutadores falsos enviaron un documento señuelo con instrucciones sobre cómo realizar una evaluación de codificación.

La evaluación de codificación falsa requirió que los destinatarios descargaran un proyecto de Visual Studio que se hacía pasar por una aplicación de administración de fuerza laboral desde una página de GitHub o Google Drive controlada por el atacante. Luego se pidió a los destinatarios que agregaran funciones al proyecto para demostrar sus habilidades de programación. Sin embargo, el proyecto incluía una función que descargaba, extraía y ejecutaba en secreto un archivo ZIP malicioso en la computadora afectada. En el código postal: la puerta trasera multiplataforma SysJoker.

“Nada supera a Rusia”

Puede parecer contradictorio que la invasión de Hamás no hubiera estado acompañada de un cambio en sus actividades cibernéticas en línea con las de Rusia. Esto puede deberse a la priorización de la seguridad operativa, el secreto que hizo que el ataque terrorista del 7 de octubre fuera tan sorprendentemente efectivo.

Lo que está menos claro es por qué, según Mandiant, la actividad cibernética confirmada más reciente relacionada con Hamás ocurrió el 4 de octubre. (Gaza ha experimentado importantes interrupciones en Internet en los últimos meses).

«Creo que la clave es que se trata de conflictos muy diferentes, que involucran a entidades muy diferentes», dijo Shane Huntley, director senior de Google TAG. “Hamás no es como Rusia. Por eso no sorprende que el uso de los ciberataques varíe ampliamente”. [depending on] el tipo de conflicto, entre ejércitos permanentes y algún tipo de ataque, como vimos el 7 de octubre”.

Pero es probable que Hamás aún no haya detenido por completo sus operaciones cibernéticas. “Si bien las perspectivas de futuras operaciones cibernéticas por parte de actores afiliados a Hamás son inciertas en el corto plazo, esperamos que las actividades cibernéticas de Hamás se reanuden en algún momento. «Deberían centrarse en el espionaje para obtener información sobre estos asuntos intrapalestinos, Israel, Estados Unidos y otros actores regionales en Medio Oriente», señaló Dennesen.