Las agencias estadounidenses afirman que los piratas informáticos rusos han comprometido a los contratistas de defensa
piratas informáticos compatibles El gobierno ruso hackeó las redes de varios contratistas de defensa de EE. UU. en una campaña sostenida que reveló información confidencial sobre la infraestructura de comunicaciones de desarrollo de armas de EE. UU., dijo el miércoles el gobierno federal.
La campaña comenzó en enero de 2020 y ha continuado a lo largo de este mes, según un aviso conjunto del FBI, la Agencia de Seguridad Nacional y la Agencia de Seguridad de Infraestructura y Ciberseguridad. Los piratas informáticos han atacado y pirateado con éxito a los contratistas de defensa con licencia, o CDC, que respaldan los contratos para el Departamento de Defensa de EE. UU. y la comunidad de inteligencia.
“Durante este período de dos años, estos actores mantuvieron un acceso persistente a múltiples redes de CDC, en algunos casos durante al menos seis meses”, escribieron los funcionarios en el aviso. “En los casos en los que los demandantes han obtenido acceso con éxito, el FBI, la NSA y la CISA han notado fugas regulares y recurrentes de correo electrónico y datos. Por ejemplo, durante un compromiso en 2021, los actores de amenazas extrajeron cientos de documentos relacionados con los productos de la empresa, las relaciones con otros países, el personal interno y asuntos legales».
Los documentos exfiltrados incluían información no clasificada propiedad de los CDC y controlada por exportación. Esta información proporciona al gobierno ruso una «perspectiva significativa» sobre los plazos de desarrollo y despliegue de las plataformas militares estadounidenses, los planes de infraestructura de comunicaciones y las tecnologías específicas utilizadas por el gobierno y las fuerzas armadas estadounidenses. Los documentos también incluyen correos electrónicos no clasificados entre empleados del gobierno y clientes que discuten detalles de propiedad sobre investigación tecnológica y científica.
El aviso decía:
Estas intrusiones en curso permitieron a los actores adquirir información confidencial y no clasificada, así como tecnologías patentadas y controladas por exportación de CDC. La información obtenida proporciona información importante sobre los plazos de desarrollo y despliegue de las plataformas armadas de EE. UU., las especificaciones de los vehículos y los planes para la infraestructura de comunicaciones y la tecnología de la información. Al capturar registros internos patentados y comunicaciones por correo electrónico, los adversarios pueden adaptar sus planes y prioridades militares, acelerar los esfuerzos de desarrollo tecnológico, informar a los responsables de la política exterior sobre las intenciones de los EE. UU. e identificar posibles fuentes de reclutamiento. Dada la sensibilidad de la información ampliamente disponible en las redes no clasificadas de los CDC, el FBI, la NSA y la CISA predicen que los actores cibernéticos patrocinados por el estado ruso seguirán apuntando a los CDC para obtener información sobre la defensa de EE. UU. en un futuro próximo. Estas agencias alientan a todos los CDC a aplicar las mitigaciones recomendadas en este aviso, independientemente de la evidencia de compensación.
Los piratas informáticos han utilizado una variedad de métodos para violar sus objetivos. Los métodos incluyen la recopilación de contraseñas de red a través de phishing selectivo, violaciones de datos, técnicas de craqueo y explotación de vulnerabilidades de software sin parches. Después de afianzarse en una red objetivo, los actores de amenazas aumentan sus derechos de sistema asignando Active Directory y conectándose a controladores de dominio. Desde allí, pueden extraer credenciales para todas las demás cuentas y crear nuevas cuentas.
Los piratas informáticos utilizan servidores privados virtuales para cifrar sus comunicaciones y ocultar sus identidades, agrega la advertencia. También utilizan «dispositivos de oficina pequeña y oficina en el hogar (SOHO) como nodos operativos para evadir la detección». En 2018, Rusia fue sorprendida infectando más de 500,000 enrutadores de consumidores para que los dispositivos pudieran usarse para infectar las redes a las que estaban conectados, filtrar contraseñas y manipular el tráfico que pasaba a través del dispositivo comprometido.
Estas y otras técnicas parecen haber tenido éxito.
“En múltiples casos, los actores de amenazas han mantenido un acceso persistente durante al menos seis meses”, dijo el aviso conjunto. “Aunque los actores usaron una variedad de malware para mantener la persistencia, el FBI, la NSA y la CISA también observaron intrusiones que no dependían de malware u otros mecanismos de persistencia. En estos casos, es probable que los actores de amenazas hayan confiado en tener credenciales legítimas para la persistencia, lo que les permite cambiar a otras cuentas según sea necesario para mantener el acceso a entornos comprometidos».
El aviso contiene una lista de indicadores técnicos que los administradores pueden usar para determinar si sus redes se han visto comprometidas durante la campaña. Continúa instando a todos los CDC a investigar actividades sospechosas en sus entornos corporativos y en la nube.
Esta historia apareció originalmente en Técnica Ars.
Más grandes historias