El grupo de ciberdelincuentes rusos, Sandworm, tenía como objetivo interrumpir las operaciones en alrededor de 20 instalaciones de infraestructura crítica en Ucrania, según un informe del Equipo Ucraniano de Respuesta a Emergencias Informáticas (CERT-UA).
También conocidos como BlackEnergy, Seashell Blizzard, Voodoo Bear y APT44, se cree que los piratas informáticos están asociados con la Dirección Principal del Estado Mayor General de las Fuerzas Armadas (GRU) de Rusia, llevando a cabo ciberespionaje y ataques destructivos contra una variedad de objetivos.
CERT-UA informa que en marzo de 2024, APT44 llevó a cabo operaciones para interrumpir los sistemas de información y comunicación de proveedores de energía, agua y calefacción en 10 regiones de Ucrania.
Los ataques ocurrieron en marzo y, en algunos casos, los piratas informáticos pudieron infiltrarse en la red objetivo envenenando la cadena de suministro para entregar software comprometido o vulnerable.
Sandworm también combinó malware previamente documentado con nuevas herramientas maliciosas (BIASBOAT y LOADGRIP para Linux) para obtener acceso y moverse lateralmente en la red.
Los expertos de CERT-UA han confirmado el compromiso de al menos tres «cadenas de suministro», como resultado de lo cual las circunstancias del acceso no autorizado inicial se correlacionan con la instalación de software que contiene puertas traseras y vulnerabilidades o son causadas por la capacidad técnica regular del que los empleados de los proveedores accedan al ICS de las organizaciones para mantenimiento y soporte técnico. – CERT-UA (traducido automáticamente).
La agencia ucraniana señala que las infracciones de Sandworm se vieron facilitadas por las malas prácticas de ciberseguridad de los objetivos (por ejemplo, falta de segmentación de la red y defensas insuficientes a nivel de proveedor de software).
Del 7 al 15 de marzo de 2024, CERT-UA participó en amplias operaciones de contraataque cibernético, que incluyeron informar a las empresas afectadas, eliminar malware y mejorar las medidas de seguridad.
Según los hallazgos de la investigación de los registros recuperados de las entidades comprometidas, Sandworm se basó en el siguiente malware para sus ataques a los proveedores de servicios públicos de Ucrania:
Los actores de amenazas utilizaron diferentes herramientas para mantener la persistencia, ocultar procesos maliciosos y elevar sus privilegios en los sistemas comprometidos.
La agencia ucraniana cree que el objetivo de estos ataques era aumentar el efecto de los ataques con misiles rusos sobre las instalaciones de infraestructura objetivo.
La semana pasada, Mandiant expuso la conexión de Sandworm con tres grupos de Telegram de marca hacktivista que previamente han reclamado ataques a infraestructura crítica en Europa y Estados Unidos.
El informe de CERT-UA proporciona una larga lista de indicadores de compromiso que incluye archivos, hosts y detalles de la red.