Los analistas de Kaspersky Lab descubrieron que el grupo de ciberdelincuentes rusos denominado Turla, activos desde hace por lo menos ocho años, lograba su alto nivel de anonimato explotando debilidades de seguridad en las redes de satélites globales.
La conexión por satélite permite al usuario obtener gran velocidad de descarga, sin embargo, tiene como desventaja que todo el tráfico de bajada viaja sin cifrar, permitiendo que cualquier persona con un equipo adecuado pueda interceptarlo y obtener acceso a los datos.
Los analistas de Kaspersky Lab han descubierto al grupo Turla usando IPs de proveedores ubicados en países como Congo, Líbano, Libia, Níger, Nigeria, Somalia o los Emiratos Árabes Unidos.
Cuando investigaban la actividad de la armada de ciberespionaje de habla rusa Turla, activa desde hace más de 8 años, los analistas de Kaspersky Lab se encontraron con el máximo nivel de anonimato. Para ocultar su actividad, este grupo utiliza debilidades de seguridad en las redes de satélites globales. En las operaciones de ciberespionaje, el servidor de comando y control es una de las partes más importantes de la infraestructura maliciosa, ya que sirve como un “centro de operaciones” para el malware desplegado en equipos determinados. En caso de que los expertos en seguridad o agentes del orden público tuviesen acceso al servidor, se pondría en riesgo toda la operación maliciosa o al menos una parte de ella.
Así, la mayor desventaja de un “centro de operaciones” es que estos servidores pueden utilizarse para rastrear a los cibercriminales que están detrás de la operación al regresar a su ubicación física. Sin embargo, como demuestra el reciente análisis de Kaspersky Lab, algunos ciberespías han encontrado la manera de controlar a sus víctimas y, al mismo tiempo, hacer que sea difícil que les rastreen.
Las comunicaciones por satélite son conocidas sobre todo como herramienta para la radiodifusión de televisión y comunicaciones seguras. Sin embargo, también se utilizan para proporcionar acceso a la Internet. Estos servicios se utilizan sobre todo en lugares remotos donde otros tipos de vínculos son inestables y lentos, o la conexión no está disponible. Uno de los tipos más extendidos y de bajo costo de conexión a Internet vía satélite es una denominada downstream-only.
En este caso, las solicitudes de salida desde una PC pasan por líneas convencionales (conexión por cable o GPRS) y todo el tráfico entrante llega desde el satélite. La conexión por satélite permite al usuario obtener velocidad de descarga, sin embargo, tiene una gran desventaja: todo el tráfico de bajada va sin cifrar, permitiendo que cualquier usuario con un equipo adecuado pueda interceptar el tráfico y obtener acceso a los datos que se están descargando.
Turla aprovechó esta debilidad de una manera diferente, ya que fue utilizada con el fin de ocultar la ubicación de sus servidores C&C:
1- Primero se “escucha” el satélite downstream para identificar las direcciones IP activas de usuarios de Internet por satélite que están en línea en el momento actual.
2 – Luego, se selecciona una dirección IP y se cambia la configuración de red del servidor C&C con el fin de imitar el usuario legítimo.
3 – A partir del uso de conexiones convencionales, se comunican con los equipos infectados y les da instrucciones para enviar datos hacia las direcciones IP deseadas para los usuarios de Internet por satélite. Los datos viajan a través de las líneas convencionales a telepuertos del proveedor de Internet por satélite, de ahí al satélite y, finalmente, desde el satélite a los usuarios con las direcciones IP elegidas.
Curiosamente, el usuario legítimo cuya IP fue utilizada por los ciberdelincuentes con el fin de recibir datos desde la máquina infectada, también recibirán estos paquetes. Esto se debe a que los ciberdelincuentes de Turla instruyen a los equipos infectados para enviar datos por los puertos que están cerrados por defecto en gran mayoría de los casos. Así que la PC del usuario legítimo simplemente deja caer estos paquetes, mientras que el servidor C&C Turla los recibe y procesa, ya que mantiene los puertos normalmente cerrados.
“En el pasado, hemos visto al menos tres tipos de atacantes diferentes que utilizan enlaces de Internet por satélite para enmascarar sus operaciones. De ellos, el grupo más interesante e inusual es Turla. Su técnica permite que los ciberdelincuentes alcancen el máximo nivel de anonimato. Pueden estar en cualquier lugar en el rango de la cobertura del satélite, que por lo general supera a miles de kilómetros”, explicó Stefan Tanase, Analista Principal de Seguridad de Kaspersky Lab. “Como es casi imposible localizar a un ciberdelincuente, el uso de estos mecanismos se vuelve más popular, es importante que los administradores de sistemas implementen las estrategias de defensa correctas para mitigar este tipo de ataques”.
Los productos de Kaspersky Lab detectan y bloquean el malware utilizado por Turla.
Compartir nota:
