El gobierno francés ha afirmado que los formidables hackers de inteligencia militar rusos atacaron o comprometieron al menos a 12 entidades francesas en los últimos cuatro años con el objetivo de recopilar «inteligencia estratégica».
En un enérgico comunicado, el Ministerio para Europa y Asuntos Exteriores atribuyó los ataques al grupo APT28 del GRU, al que se le ha atribuido en el pasado múltiples ataques de alto perfil, incluyendo los perpetrados contra la infraestructura eléctrica ucraniana, la emisora francesa TV5Monde y el Comité Nacional Demócrata (CND).
El comunicado acusó al grupo no solo de intentar robar inteligencia, sino también de desestabilizar a la sociedad en general, incluyendo la interferencia en las elecciones francesas de 2017 y los ataques a las entidades que albergaron los Juegos Olímpicos de París el año pasado.
“Estas actividades desestabilizadoras no son aceptables ni dignas de un miembro permanente del Consejo de Seguridad de las Naciones Unidas. Además, son contrarias a las normas de la ONU sobre comportamiento estatal responsable en el ciberespacio, a las que Rusia se ha adherido”, señala el comunicado.
Junto con sus socios, Francia está decidida a utilizar todos los medios a su alcance para anticipar el comportamiento malicioso de Rusia en el ciberespacio, disuadirlo y responder cuando sea necesario.
Un informe de la agencia francesa de ciberseguridad ANSSI reveló que las entidades francesas atacadas estaban ubicadas en todo el mundo, en los sectores gubernamental, de defensa, aeroespacial, financiero y de ONG. Otros países de la UE, miembros de la OTAN y Ucrania también han sido blanco del grupo desde 2021, añadió.
ANSSI afirmó que las tácticas, técnicas y procedimientos (TTP) de APT28 han incluido:
Phishing, explotación de vulnerabilidades (incluida la vulnerabilidad de día cero CVE-2023-23397) y ataques de fuerza bruta para el acceso inicial.
Ataques de acceso inicial dirigidos al correo web y dispositivos periféricos con baja seguridad, como routers, VPN y firewalls.
Ataques a usuarios de correo electrónico diseñados no para la persistencia ni el acceso a sistemas de información más amplios, sino para recopilar información de cuentas, incluyendo conversaciones, libretas de direcciones y credenciales de inicio de sesión.
Ataques dirigidos a servidores de correo electrónico de Roundcube y a usuarios de Yahoo, Outlook, ZimbraMail y el proveedor ucraniano UKR.net.
“Desde la fase de reconocimiento hasta la exfiltración de datos, los operadores del grupo de intrusión APT28 dependen en gran medida de infraestructura externalizada de bajo coste y lista para usar. Dicha infraestructura puede consistir en servidores alquilados, servicios de alojamiento gratuitos, servicios de VPN y servicios de creación de direcciones de correo electrónico temporales”, continuó el informe.
El uso de estos servicios proporciona mayor flexibilidad en la creación y administración de nuevos recursos y mejora la sigilo. De hecho, varios de estos servicios también son utilizados legítimamente por particulares y empresas, lo que complica aún más la detección y el monitoreo de dicha infraestructura.