Operaciones APT famosas

Tenemos en la prensa especializada noticias sobre ataques APT casi a diario y el término se está empezando a utilizar de manera demasiado alegre. El otro día llegue a leer incluso a alguien que decía que el malware bancario Zeus era un APT.

El término APT se suele asociar erróneamente al uso de malware dirigido, pero es algo más. APT es el grupo de gente que esta detrás del ataque, no la operación y mucho menos el malware.

El malware es como “una bomba”. Es lo que “mata”, pero para lanzar una bomba hace falta un avión, hacen falta pilotos, hacen falta ingenieros que diseñen la bomba, gente de inteligencia y medios de reconocimiento que digan donde hay que dejar caer la bomba.

Además no cualquier grupo de “ciber-agresores” entra dentro del término APT si no cumplen las condiciones básicas del término:

• Avanzado: En el sentido de que los atacantes tienen recursos técnicos, económicos y de inteligencia amplios. Son grupos poderosos o naciones.

• Persistente: Es decir los ataques no son únicos y se suelen mantener a largo plazo.

• Amenaza: Al estar realizados de forma organizada (Las herramientas de seguridad tradicionales están diseñadas para evitar ataques puntuales y por lo tanto son previsibles y fáciles de evadir si se realizan los ataques de manera planificada).

Por si no queda del todo claro. He recopilado una lista de las operaciones APT más famosas de los últimos años como material de estudio. Si echáis alguna en falta, estoy a vuestra disposición.

No veréis en esta lista troyanos masivos de ciberdelincuencia tipo Zeus, Shylock, Coreflood, Mariposa y tantos otros.

Ordenados según el año en el que salieron a la luz pública:

1999

Moonlight Maze - http://en.wikipedia.org/wiki/Moonlight_Maze

2005

Titan Rain - http://en.wikipedia.org/wiki/Titan_Rain

2008

Buckshot Yankee - http://en.wikipedia.org/wiki/2008_cyberattack_on_United_States

2009

Byzantine Hades / Gh0stNet - http://en.wikipedia.org/wiki/GhostNet

2010

Stuxnet - http://en.wikipedia.org/wiki/Stuxnet

Aurora / Hydraq - http://en.wikipedia.org/wiki/Operation_Aurora

2011

Night Dragon - http://www.mcafee.com/us/about/night-dragon.aspx

Duqu - http://en.wikipedia.org/wiki/Duqu

Shady RAT - http://en.wikipedia.org/wiki/Operation_Shady_RAT

Sykipot - http://www.alienvault.com/open-threat-exchange/blog/new-sykipot-developments

RSA SecurID Breach - http://www.zdnet.com/nation-state-behind-rsas-securid-breach-2062302463/

Black Tulip / Diginotar Hacking - http://www.rijksoverheid.nl/ministeries/bzk/documenten-en-publicaties/rapporten/2011/09/05/diginotar-public-report-version-1.html 

Nitro Attacks - http://www.symantec.com/connect/blogs/nitro-attackers-have-some-gall

2012

Flame - http://en.wikipedia.org/wiki/Flame_(malware)

Mahdi - http://en.wikipedia.org/wiki/Mahdi_(malware)

Red October - http://en.wikipedia.org/wiki/Red_October_(malware)

2013

Icefog - http://www.securelist.com/en/analysis/204792307/The_Icefog_APT_Frequently_Asked_Questions

Bit9 Break-in - http://petehoang.blogspot.com.es/2013/02/bit9s-apt-hacker-break-in.html

DeputyDog - http://www.fireeye.com/blog/technical/cyber-exploits/2013/09/operation-deputydog-zero-day-cve-2013-3893-attack-against-japanese-targets.html

NetTraveler - https://www.securelist.com/en/blog/8105/NetTraveler_is_Running_Red_Star_APT_Attacks_Compromise_High_Profile_Victims

2014

Careto / Mask - http://www.securelist.com/en/blog/208216078/The_Careto_Mask_APT_Frequently_Asked_Questions

Snake - http://www.baesystems.com/what-we-do-rai/the-snake-campaign

Gran parte del texto del articulo ha sido aportado por Miguel Angel Hernandez.

Los “chinos” han descubiertos las webshells

En su revisión de las técnicas de hacking old-school (de la vieja escuela), los “chinos” parece que están usando cada vez más webshells y es probable que veamos un incremento en la actividad de este tipo de artefactos. Por ejemplo: China Chopper Webshell

Por si no las conocíais, una webshell es una puerta trasera que se instala en un servidor web para permitir acceso remoto al mismo. Normalmente están basadas en código de scripting (php, jsp, aspx, cfm) y son de pequeño tamaño (para facilitar su ocultación).

Aunque se están viendo algunas novedades en este tipo de herramientas de hacking, básicamente usan las mismas estrategias de siempre.

Las técnicas APT clásicas (spear-phishing + dropper + posion ivy) están cada vez más "controladas" (risas) así que están cambiando poco a poco sus tácticas para evitar ser detectados.

¿Cracking?

El termino “hacking” tiene varias acepciones, aunque nosotros cuando hacemos uso de él normalmente nos referimos al hacking como la acción de acceder y utilizar recursos informáticos ajenos sin autorización, también referido en algunas ocasiones como “intrusión”.

Si nos ponemos puristas, "hacking" no sería el termino correcto. Es más, existe un sector  en el mundillo de la tecnología que intentar limpiar las supuestas connotaciones negativas de este término y utiliza el término alternativo "cracking" para definir la intrusión en los sistemas informáticos ajenos o en general a cualquier actividad informática maliciosa.

 

No quiero entrar en discusiones semánticas, es más es una batalla perdida. A nivel popular el uso del término "hacker" es incluso más alegre (cualquiera con unos mínimos conocimientos es denominado como tal) y más si tenemos en cuenta que algunos medios de comunicación a veces utilizan directamente otro término; "pirata", para definir a un individuo que utiliza la informática con fines cuestionables.

Así que usar el término "hacking" tal vez no es tan negativo dentro de lo que cabe y así nos ahorramos entrar en valoraciones éticas.

Y hablando del daño que han hecho los medios de comunicación al concepto de "hacker", podríamos también comentar la imagen que se da del mundillo de la seguridad informática y del hacking.

Los medios de comunicación y el cine han dibujado una imagen muy borrosa y fantasiosa de lo que es el hacking. Se ha creado una idea distorsionada que muestra al hacking como una especie de ciencia esotérica; mezcla de magia, suerte y espirales colores; olvidando que su principal faceta es técnica.

Eliminando los matices sociales asociados al hacking, tales como: la ética hacker, la cultura hacker o la moda hacker; y centrándonos solo en el aspecto informático, el hacking es principalmente una labor técnica con reglas y metodologías definidas (aunque siempre en constante cambio y actualización).

Además se ha mostrado también al hacker como un genio o gurú excéntrico, incapaz de ser detenido o vencido.
 

Todo esto se aleja de la realidad:

- El hacking no es algo exclusivo de genios, cualquiera con un poco de capacidad y constancia puede llegar a realizar acciones de hacking.

- El hacking se puede aprender y enseñar, no es algo abstracto.

- El hacking tiene un importante componente técnico. En la mayor parte de los casos es necesario saber cómo funciona un sistema informático para poder romperlo.

- El hacking puede ser evitado. La mayor parte de las veces un hacker aprovecha un error o la ignorancia de un administrador o de un programador para realizar su ataque. Estos errores pueden ser corregidos y prevenidos.

- Los hackers no son super-genios. Son humanos, cometen errores, tienen debilidades, tienen manías, tienen costumbres, dejan huellas.

Aunque es cierto que un buen hacker normalmente debe ser inteligente y recurrir a menudo al uso de pensamiento lateral, en algunos casos el hacking es increíblemente sencillo.

Todo depende de lo difícil que lo hayan puesto los administradores o los programadores de un sistema informático. A veces, como sucede en las películas, el protagonista consigue adivinar la contraseña que utiliza el malo en cuestión de segundos y sin la necesidad de conocimiento informático alguno.