Refrito del sábado: Lazarus

Me acordé de esta entrada con relación al "hackeo" de los correos del Estado Mayor Conjunto de la Defensa Nacional de Chile. Al parecer no fue nada de importancia, solo varios miles de mail enviados por Exhange, el servicio de correos para empresas de Microsoft, en un ataque que afectó a varios países de América Latina, a años luz del ataque del Grupo Lazarus al Banco Central de Bangladesh, que fue mucho más sofisticado.

Ninguna institución está libre de estosataques, en ningún país, normalmente son muy básicos y explotan vulnerabilidades conocidas en equipos que no han sido parchados, es una situación corriente especialmente en servidores de email y otros que no almacenan información muy valiosa, seguro que en el futuro seguiremos viendo cosas así.

Todo lo que está conectado a Internet es inseguro, especielmente los mail, que muchos creen que tienen la privacidad e inviolabilidad de una carta, sin embargo es como mandar en un sobre abierto que muchos pueden interceptar y leer. Tal vez lo más importante es establecer políticas de seguridad, para lo que no se necesita ningún experto informático ni nada por el estilo, separando la información en unos 3 o 4 niveles según su valor, los niveles más sensibles deben ir encriptados de punta a punta, y aunque eso no asegura un 100% de seguridad termina con prácticamente todos los riesgos. Pero en fin, vamos al refrito:

Lazarus (publicado originalmente el 14 de junio de 2022)

Llevo un tiempo siguiendo esta historia, que parece sacada de una película de ciencia ficción pero es completamente real. Empecé viendo una serie de la BBC pero después seguí averiguando y a medida que leo más, quedo cada vez más asombrado, se trata de la historia del Grupo Lazarus, conocido por varios otros nombres como Guardianes de la Paz o Equipo Whois, los conocí leyendo una propaganda de BAE Systems Digital Intelligence, que me llevó al documental del gran robo del Banco Central de Bangladesh. Una cosa llevó a la otra y -para no caer en imprecisiones- resumiré el robo y la historia que aparece en Wikipedia.

En febrero de 2016, el Banco central de Bangladesh sufrió un desperfecto en la impresora que dejaba respaldo físico de las transacciones de fondos swift. El asunto ocurrió un viernes en la tarde y los encargados de informática dejaron la reparación para el lunes siguiente. Durante ese fin de semana unos hackers hicieron 35 transacciones fraudulentas desde la Reserva Federal de Nueva York contra los fondos en la cuenta del Banco Central de Bangladesh, por casi mil millones de dólares eran el total de los fondos soberanos que tenía ese banco en Estados Unidos.

Desde la Reserva Federal mandaron a pedir confirmaciones reiteradas veces, pero el fin de semana el Banco Central de Bangladesh no trabajaba, así es que empezaron a hacer las transacciones a diversas cuentas en Filipinas y otros países, ya que la operación cumplía con todos los requisitos. Cuando llegó el lunes, el presidente del Banco Central se enteró del asunto y -sin saber bien de que se trataba- decidió contratar al mejor experto de ciberseguridad del país y no informar a nadie para no causar pánico, hasta saber el alcance del asunto.

Los hackers llevaban más de un año infiltrando los servidores del banco y con paciencia oriental fueron tomando el control de una a otra máquina hasta llegar a su objetivo principal, que era el software que controlaba a la impresora de los respaldos. Después de eso orquestaron un robo perfectamente calculado, minuto a minuto y así lo ejecutaron.

Cuento corto, de las 35 transacciones, la Reserva Federal consiguió bloquear 30, por 850 millones de dólares, 20 millones se perdieron en una cuenta de Sri Lanka y otros 81 en una cuenta de Filipinas, nunca se llegó a recuperar esa plata. Las transacciones bloqueadas se salvaron por casualidad, ya que las órdenes contenían faltas de ortografía que hicieron sospechar a los encargados de la FED, de no ser por eso, habrían dejado a Bangladesh en cueros, sin un dólar de reservas internacionales.

El grupo BAE, contratistas privados de defensa y seguridad, reclaman haber sido ellos quienes identificaron que los perpetradores eran de Lazarus, que estaba ejerciendo esas actividades de cibercrimen desde el año 2009 y siguen en lo mismo hasta el día de hoy.

Resulta que ya están bastante identificados como un grupo dependiente del gobierno de Corea del Norte, que desde hace años vienen reclutando y educando a la gente más talentosa que encuentran por todo el país, los juramentan al silencio y los mandan a estudiar a Shenyang, China, donde aprenden a crear malware e infiltrarse en los equipos, también se especializan localmente en  la Kim Chaek University of Technology, Kim Il-sung University y en Moranbong University, donde tienen escuelas de cibercrimen.

Tal vez recuerden cuando Sony hizo una película burlándose de Kim Jong Il, bueno, en 2014 esa empresa sufrió el peor ataque corporativo de la historia con un daño masivo que expuso toneladas de información confidencial de la empresa a la luz pública y dejó a toda la web corporativa fuera de servicio por varios días.

El grupo Lazarus, que partió en 2009 con un ataque bien rústico de denegación de servicios a varios servidores en USA y Corea del Sur, con el tiempo fue sofisticando sus operaciones y hoy es la organización de cibercrimen más peligrosa del mundo respaldada por el gobierno de Corea del Norte, muy probablemente en complicidad con China.

En 2013 comprometió varios servidores de Corea del Sur con ataques más sofisticados. En 2017 infectaron masivamente con el gusano de ramsonware WanaCry a cerca de 200.000 computadores en 150 países, el ramsonware consiste en "secuestrar" información exigiendo un rescate para poder recuperarla.  En 2017 incursionaron con un ataque a una criptomoneda de Corea del Sur, robándose 7 millones de dólares. A finales del 2020 comenzaron a atacar a las farmacéuticas, robando información y extorsionándolos con fuertes rescates. 

Recién en marzo de este año atacaron un juego online con criptomonedas llamado Axie Infinity attack, robando más de 600 millones de dólares. Un fuerte aviso para los que creen que el bitcoin y otras inversiones por el estilo son "completamente seguras" : la seguridad en Internet no existe, así de simple.

Como es decía, este grupo es un esfuerzo material y humano enorme, financiado y protegido por el gobierno de Corea del Norte y probablemente respaldado por el gobierno de China. Tienen dos grandes divisiones, una dedicada al cibercrimen financiero y otra área política, dedicada a la guerra electrónica contra Corea del Sur y Estados Unidos principalmente.

En fin, es un asunto alucinante del que no me canso de leer. Mejor que cualquier película de ficción y totalmente real. Mientras tanto yo pienso con cierta inquietud que mis ámaras de video vigilancia están mandando toda la información a servidores chinos en tiempo real.