Practica #2 – Ataques Cibernéticos
Investigar y analizar incidentes de ciberseguridad
Problemática:
Las empresas, los gobiernos y los usuarios comunes cada vez son más
propensos a ser víctimas de ciberataques y los expertos predicen que en el futuro
probablemente haya más ataques. La educación en ciberseguridad es la máxima
prioridad internacional ya que los incidentes de alto nivel relacionados con
ciberseguridad aumentan los temores de que los ataques puedan amenazar a la
economía global.
El Centro de Estudios Estratégicos e Internacionales estima que el costo del
ciberdelito para la economía global supera los USD 400,000 millones al año y
que, solo en Estados Unidos, 3,000 empresas sufrieron ataques en sus sistemas
en el año 2013. En esta práctica estudiarán cuatro ciberataques de alto perfil y
se prepararán para analizar el quién, qué, por qué y cómo de cada ataque.
TEMA 1: Buscar ciberataques de alto perfil
Utilicen su navegador favorito para buscar cada uno de los ciberataques que se
mencionan a continuación. En su búsqueda probablemente encuentren varios
resultados que pueden ser desde noticias hasta artículos técnicos.
Brecha de seguridad en Home Depot
Brecha en tarjetas de crédito objetivo
El virus Stuxnet
Hack a la Sony Pictures Entertainment
TEMA 2: Redactar un análisis de un ciberataque
Seleccionen uno de los ciberataques de alto perfil del Tema 1 y redacten un
análisis del ataque en el que se incluyan respuestas para las siguientes
preguntas:
1. ¿Quiénes fueron las víctimas de los ataques?
El ataque que más me ha impresionado ha sido el del Stuxnet debido a la
complejidad del ataque, la complicidad de los gobiernos y la posible
afectación que sucedió desde perdida de centrifugadoras de miles de
euros, hasta una posible explosión nuclear que pudo haber acabado con
la vida de cientos de miles de personas con consecuencias catastróficas
desde el punto de vista de radioactividad. Las victimas en este caso, o el
objetivo del ataque fue una planta nuclear en Irán.
2. ¿Qué tecnologías y herramientas se utilizaron en el
ataque?
Se utilizó un virus informático, con un código bastante desarrollado y
mucho más extenso y complejo que la mayoría de los virus tipo worms o
troyanos, debido a la especificidad del código y su target que era un PLC
de la marca Siemens de un modelo especifico que se encontraba en esa
planta. Únicamente se utilizó el código y se dispersó contaminando miles
de computadores alrededor del mundo, con la intención de llegar hasta la
planta nuclear y contaminarla.
La programación misma del virus no generaba afectación a ningún otro
componente de hardware o software de usuarios regulares de la Web,
solamente afectaba en su código a este PLC mencionado anteriormente.
La planta se encuentra dentro de una pirámide de automatización CIM
(Computer Integrated Manufacturing) lo cual directamente no cuenta con
conexión directa a la Internet, por lo cual también dentro de las
herramientas tecnológicas que se debieron utilizar para el ataque, fue un
dispositivo USB de almacenamiento externo para el intercambio entre un
equipo contaminado, transporte en el USB tipo Switchblade y posterior
conexión en alguna HMI del proceso CIM salteando los Firewalls y demás
seguridades del sistema.
3. ¿Cuándo ocurrió el ataque en la red?
El ataque fue catalogado en junio del 2010, aunque se sospecha que la
creación del virus fue en el año 2008 o antes. No hay una fecha exacta de
la creación del virus, sin embargo, entre enero y junio del 2009 fue
identificado el problema en la planta de Natanz, y debido al sigilo del
programa malicioso, el daño o corrupción del proceso automático no se
generaba de forma inmediata, sino que tardaba una gran cantidad de
ciclos en efectuar el deterioro de la centrifugadora, por lo cual pasaron
varios días e incluso varias semanas en producir los daños y que los
técnicos determinaran que existía un problema externo, y no simplemente
culpar a el deterioro normal o defectos de fabrica en los componentes.
Este ataque fue estratégicamente planeado para efectuarse en un lapso
bastante amplio, fue paciente en su intención y objetivo.
4. ¿Qué motivó a los atacantes en este caso? ¿Qué
esperaban lograr?
Esperaban generar un retroceso en la fabricación de Uranio enriquecido,
más específicamente del isotopo 235 que se utiliza para la fabricación de
armas nucleares. Lo que se pretendía con este virus era generar
deterioros en la maquinaria necesaria que generaría un impulso en la
carrera armamentística o en el desarrollo de posibles armas nucleares por
parte de Irán, en las plantas que se suponían eran para la generación de
energía eléctrica para el suministro al país, pero que terminaron siendo
para el enriquecimiento de uranio con fines militares.
La principal motivación fue política, debido al poco relacionamiento que
había entre Irán y los demás países o potencias mundiales en el
momento, y la creciente ola del enaltecimiento nacionalista de grupos y
sectores radicales del Islam, provocaron que la comunicación no fuese
eficiente a la hora de entablar políticas conjuntas para el desarrollo de sus
plantas, sino que obligaron a un conjunto de naciones (según las
especulaciones, debido a que las supuestas naciones involucradas
siguen negando con vehemencia, hasta la fecha, haber participado en el
desarrollo del virus) a tomar acciones, de forma activa-pasiva y discreta,
cartas en el asunto, creando el primer ciberataque conocido y registrado
en el mundo.
5. ¿Cuál fue el resultado del ataque? (datos robados, rescate,
daños en el sistema, etc.
Evidentemente el resultado fue la destrucción de alrededor de 2 mil
centrifugadoras P1 y de la versión más avanzada, los IR-2, ambos con la
misma función y objetivo. En este caso, la destrucción se podría ver desde
cierta perspectiva como un ataque de denegación de servicio, por su
exclusión del verdadero sistema SCADA en el monitoreo y control de cada
centrifugadora, y del conjunto de centrifugadoras como un sistema total,
pero también podemos evidenciar el daño real y físico que se genera por
medio de un software, esto tiene graves implicaciones en el mundo por la
vulnerabilidad que estos sistemas automatizados tienen, y más allá de
eso, por la importancia que dichos sistemas CIM y la relevancia de ellos
actualmente poseen.
Los sistemas CIM y SCADA son ampliamente utilizados a nivel mundial
para la prestación de servicios públicos y servicios privados en decenas
de países, lo que genera una brecha alta de vulnerabilidad a la seguridad
de la integridad física no solamente por los daños a los activos nacionales,
sino también por el daño a la integridad de los ciudadanos, que puedan
verse directamente afectados por el mal funcionamiento de un sistema de
estos, como por ejemplo, el mal funcionamiento de un sistema de trenes
que se derive en un accidente grave, una represa hídrica que genere un
desbordamiento y daño a la estructura, arrasando poblaciones cercanas
y daños a la fauna y flora, malfuncionamiento de una estación eléctrica
que produzca un corto masivo afectando poblaciones enteras e incluso
acabando con la vida de muchas personas.
El resultado evidentemente fue la claridad y descubrimiento de la carencia
de políticas de seguridad en sistemas industriales, pero también la
complejidad que la vulneración de dichos sistemas pueden llegar a
producir, en este ataque en específico el resultado fue simplemente la
destrucción de material altamente costoso económicamente, pero pudo
haber resultado en la explosión de una planta nuclear, con altas
cantidades de material fisible que hubiese llegado a desencadenar una
explosión nuclear de escalas inimaginables, debido a que los mismos
productores del virus no eran conscientes de que cantidad de material
radioactivo se encontraba dentro de dicha planta, que se pudo haber
convertido en la destrucción por completo de una ciudad, el país o mucho
más allá de eso.
