La magnitud desconocida del ciberatque en Italia
El pasado domingo se produjo un ciberataque en Italia cuyas características y consecuencias parecen diferir de lo que estábamos acostumbrados a ver, y cuya dimensión potencial es preocupante.
La conectividad de internet en Italia se vio afectada por interrupciones provocadas, tal y como explicó su Agencia de Ciberseguridad Nacional (ACN), por un ataque masivo de ransomware de origen desconocido. Su objetivo directo era explotar una vulnerabilidad de software, logrando así dañar a miles de servidores ESXi de VMware, no solo en Italia, sino en decenas de países en todo el mundo, como Francia, Finlandia, Estados Unidos o Canadá.
La ACN ha explicado que "la vulnerabilidad explotada por los atacantes ya ha sido corregida en el pasado por el fabricante, pero (...) los atacados, si carecen de las correcciones oportunas, pueden abrir la puerta a hackers empeñados en explotarla tras el fuerte incremento de ataques durante el fin de semana".
Esta noticia cobra una relevancia especial por la casi coincidencia con la celebración, hoy 7 de febrero, del día de la Internet Segura. Por ello, pero porque en cualquier otra fecha no habría dejado de ser más trascendente de lo en principio señalado en los medios de comunicación generalistas, que en otras ocasiones han dedicado más cabeceras a otros ciberataques, cabe hacerse eco de la reflexión de los expertos.
El ciberataque masivo al Gobierno italiano que ha tenido lugar este fin de semana es bastante diferente de los ataques de los que normalmente oímos hablar en las noticias diarias, con daños y violaciones de datos dirigidos a organizaciones privadas.Y es que tal y como señala Check Point Software Technologies, un proveedor líder de soluciones de ciberseguridad a nivel mundial, el ataque de ransomware tiene un impacto potencial que podría extenderse a toda la ciudadanía, produciendo interrupciones nacionales, o incluso globales.
Las posibles ineficiencias de las que dependemos, y que se han producido en las últimas horas, pueden atribuirse precisamente a este enorme ataque de ransomware, una amenaza creciente no solo en Italia, sino en todo el mundo. Y es que este ataque masivo a servidores ESXi se considera el ciberataque de mayor envergadura jamás registrado en máquinas no Windows, lo que hace que la situación sea aún más preocupante.
De hecho, tal y como ha analizado el equipo de investigación de la compañía, el ataque de ransomware no se limitó a la infraestructura informática italiana, explotando un fallo del que ya se informó en febrero de 2021, lo que hace que se esperen unos daños probablemente generalizados.
Por su parte, la red mundial de honeypots de TEHTRIS, equipados con la tecnología XDR para atraer a los ciberdelincuentes, identificarlos y recopilar información sobre la forma en la que navegan por redes y servidores, ha observado que el ataque no se produjo este fin de semana por primera vez en la historia. La cronología, basada en datos recopilados desde el 1 de enero de 2023, muestra que ya hubo picos de ataques dirigidos al puerto 427 el 10 y el 24 de enero, antes de que volviera a aumentar a principios de febrero.
Es interesante observar que las 3 primeras IPs que accedieron al puerto 427 lo hicieron después de la alerta oficial francesa del 3 de febrero. Por otro lado, y antes del 3 de febrero, algunas de las IPs maliciosas monitorizadas por la red de honeypots de TEHTRIS, intentaron pasar desapercibidas. Esta baja señal realizada por atacantes más discretos podría ser la más peligrosa. En resumen, la mayoría de los ataques entrantes por el puerto 427 dirigidos a la parte oriental de EE.UU., la parte noreste de la región Asia-Pacífico y Europa Occidental están prácticamente al mismo nivel.
“La creciente sofisticación de los ataques de malware es el mayor obstáculo para la defensa. No sorprende, por lo tanto, que los investigadores en ciberseguridad adviertan que los ataques de ransomware seguirán evolucionando rápidamente. En este sentido, los cambios más significativos que hemos observado desde TEHTRIS en el último año son el resurgimiento de grupos que crean su ransomware y lo alquilan en modo Ransomware as a Service (RaaS) en el panorama cibernético, así como el aumento del ciberespionaje, debido sobre todo a los conflictos geopolíticos”, concluye Pedro Morcillo, Country Manager de TEHTRIS para España.
Finalmente, Federico Dios, pre-sales senior manager en Akamai Technologies, ha manifestado lo siguiente acerca de la vulnerabilidad: “La reciente explotación de una vulnerabilidad de VMware de hace dos años muestra claramente que los sistemas desactualizados no deberían conectarse a Internet a menos que se tomen medidas para proteger y mitigar el riesgo. Una buena higiene tecnológica es clave.
Del mismo modo que no dejarías la cerradura de la puerta de casa sin arreglar durante dos años, deberías asegurarte de aplicar parches a los sistemas vulnerables en cuanto estén disponibles".
