El gobierno de Estados Unidos anunció el martes la interrupción, autorizada por un tribunal, de una red mundial comprometida por una cepa de malware avanzado conocida como Snake, utilizada por el Servicio Federal de Seguridad de Rusia (FSB).
Snake, apodada la «herramienta de ciberespionaje más sofisticada», es obra de un grupo ruso patrocinado por el Estado y denominado Turla (también conocido como Iron Hunter, Secret Blizzard, SUMMIT, Uroburos, Venomous Bear y Waterbug), que el Gobierno estadounidense atribuye a una unidad del Centro 16 del FSB.
El actor de la amenaza tiene un historial de centrarse en gran medida en las entidades en Europa, la Comunidad de Estados Independientes (CEI), y los países afiliados a la OTAN, con la actividad reciente de ampliar su huella para incorporar las naciones de Oriente Medio considera una amenaza para los países apoyados por Rusia en la región.
La neutralización se orquestó como parte de un esfuerzo bautizado como Operación MEDUSA mediante una herramienta creada por la Oficina Federal de Investigación de Estados Unidos (FBI) con el nombre en clave PERSEUS, que permitía a las autoridades emitir órdenes al malware que le hacían «sobrescribir sus propios componentes vitales» en las máquinas infectadas.
Las instrucciones de autodestrucción, diseñadas tras descifrar y descodificar las comunicaciones de red del malware, hacían que «el implante Snake se desactivara a sí mismo sin afectar al ordenador anfitrión ni a las aplicaciones legítimas del equipo», explicó la agencia.
Snake, según un aviso publicado por la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA), está diseñado como una herramienta encubierta para la recopilación de inteligencia a largo plazo sobre objetivos de alta prioridad, lo que permite al adversario crear una red peer-to-peer (P2P) de sistemas comprometidos en todo el mundo.
Además, varios sistemas de la red P2P servían como nodos de retransmisión para dirigir el tráfico operativo encubierto hacia y desde el malware Snake implantado en los objetivos finales del FSB, lo que dificultaba la detección de la actividad.
El malware multiplataforma basado en C emplea además métodos de comunicación personalizados para añadir una nueva capa de ocultación y presenta una arquitectura modular que permite inyectar o modificar componentes de forma eficaz para aumentar sus capacidades y mantener un acceso persistente a información valiosa.
Se han identificado infraestructuras asociadas al grupo respaldado por el Kremlin en más de 50 países de Norteamérica, Sudamérica, Europa, África, Asia y Australia, aunque se considera que su objetivo es más táctico y abarca redes gubernamentales, centros de investigación y periodistas.
Entre los sectores afectados en Estados Unidos figuran la educación, las pequeñas empresas y las organizaciones de medios de comunicación, así como sectores de infraestructuras críticas como instalaciones gubernamentales, servicios financieros, fabricación crítica y comunicaciones.