Los hackers rusos dan miedo | Grupo Sandworm

Resumen

El video repasa las operaciones atribuidas al grupo ruso de ciberespionaje conocido como Sandworm y explica cómo sus ataques evolucionaron desde la recopilación de información hasta causar daños en infraestructuras y servicios reales. El relato se apoya principalmente en el libro Sandworm, del periodista de investigación Andy Greenberg.

Origen y herramientas

• Investigadores detectaron un archivo de PowerPoint dirigido a Ucrania que explotaba una vulnerabilidad zero-day de Windows: un fallo aún desconocido para el fabricante y sin parche disponible. El archivo contenía componentes de BlackEnergy, malware usado para robar contraseñas y propagarse.
• Referencias a Dune escondidas en el código ayudaron al investigador Drew Robinson a relacionar varias muestras. Su equipo propuso el nombre «Operación Bene Gesserit»; su jefe, John Hultquist, lo llamó Sandworm.
• Los investigadores temían que el grupo pudiera alcanzar sistemas SCADA, empleados para supervisar procesos industriales, energéticos y de transporte. Un ataque contra ellos puede repercutir en el mundo físico, no solo en los ordenadores.

Ataques contra Ucrania y Estados Unidos

• En 2015, un malware que combinaba BlackEnergy, Mimikatz —para obtener credenciales— y KillDisk —para borrar datos— afectó a empresas y entidades ucranianas. En diciembre, un ciberataque dejó sin electricidad a unas 230.000 personas durante aproximadamente seis horas. El video lo presenta como el primer apagón causado por un ciberataque.
• En 2016, el grupo volvió a atacar el sector eléctrico ucraniano con Industroyer, también llamado CrashOverride. A diferencia del ataque anterior, podía automatizar operaciones sobre los sistemas eléctricos. El incidente afectó a una central de transmisión, aunque el corte fue breve.
• El video también aborda la filtración de correos del Partido Demócrata estadounidense durante la campaña de 2016 y la figura de Guccifer 2.0, presentada como una identidad falsa para desviar la atención y confundir la atribución. Se afirma que hubo una campaña de influencia favorable a Donald Trump, pero se aclara que no hay pruebas de que se manipularan técnicamente los votos o se comprometieran los sistemas electorales.

NotPetya: propagación mundial

• Sandworm incorporó EternalBlue, una vulnerabilidad de Windows divulgada tras la filtración de herramientas de la NSA. Aunque Microsoft ya había publicado un parche, muchos equipos seguían sin actualizar.
• El grupo comprometió el software contable ucraniano M.E.Doc y usó una actualización para distribuir NotPetya. Aunque parecía ransomware y pedía dinero, en realidad funcionaba como un borrador de datos: no había un método efectivo para recuperar los archivos.
• El ataque paralizó servicios y empresas. Afectó a organismos públicos, bancos, hospitales, el aeropuerto de Kyiv, ferrocarriles y terminales portuarias de Maersk. Más de 23.000 ordenadores resultaron afectados; el video estima pérdidas de unos 10.000 millones de dólares.
• Se descubrió que el archivo de vacunación perfc podía impedir que NotPetya borrara datos en equipos aún no infectados. Yasinski observó además que algunas máquinas ya tenían ese archivo antes del ataque, lo que sugirió que los atacantes podían estar protegiendo ciertos equipos para conservar accesos.

Atribución y otros ataques

• El video vincula Sandworm con la inteligencia militar rusa, el GRU, y señala que un artículo de The Washington Post de 2018 atribuyó NotPetya a una unidad rusa. Las transcripciones dan cifras distintas para la unidad; la identificación mencionada más adelante es la 74455.
• En los Juegos Olímpicos de Invierno de 2018, el malware Olympic Destroyer inutilizó redes, servidores, televisores y sistemas de acceso. Su código contenía indicios que parecían apuntar a grupos norcoreanos o chinos, pero se descubrió que algunos metadatos podían estar falsificados. El video presenta el caso como otro ejemplo de las dificultades de atribución.
• La conclusión es que Sandworm habría seguido activo, con operaciones más encubiertas, y que los ataques informáticos pueden servir tanto para el espionaje y la influencia como para interrumpir servicios y causar daños físicos.

Mención patrocinada

El narrador promociona Proton, que ofrece en una suscripción servicios como correo cifrado Proton Mail, VPN, gestor de contraseñas Proton Pass, almacenamiento cifrado Proton Drive y calendario. Esta parte es una mención publicitaria, no una evaluación independiente de los productos.

Guías, tutoriales o reseñas

No se presenta una guía ni una reseña formal. Sí se incluye el consejo general de mantener los dispositivos actualizados.

Principales voces y fuentes

• Lord Draugr, narrador.
• Andy Greenberg, autor del libro Sandworm y fuente central del relato.
• Investigadores y especialistas mencionados: Drew Robinson, John Hultquist, Oleksiy Yasinski y Robert Lee.
• También se citan análisis de empresas de ciberseguridad y noticias de The Washington Post.