Ciberataque Colonial Pipeline: EE. UU. Se apodera de la mayor parte del rescate del grupo de hackers DarkSide

Durante años, las víctimas han optado por pagar discretamente a los ciberdelincuentes, calculando que el pago sería más económico que reconstruir datos y servicios.

Washington: El Departamento de Justicia dijo el lunes que se había apoderado de gran parte del rescate que un importante operador de oleoductos de EE. UU. Había pagado el mes pasado a un colectivo de piratas informáticos ruso, cambiando las tornas de los piratas informáticos al acceder a una billetera digital para recuperar millones de dólares en criptomoneda.
Los investigadores en las últimas semanas rastrearon 75 bitcoins por valor de más de $ 4 millones que Colonial Pipeline había pagado a los piratas informáticos cuando el ataque cerró sus sistemas informáticos, lo que provocó escasez de combustible, un aumento en los precios de la gasolina y el caos en las aerolíneas.
Los investigadores federales rastrearon el rescate mientras se movía a través de un laberinto de al menos 23 cuentas electrónicas diferentes pertenecientes a DarkSide, el grupo de piratería, antes de aterrizar en una en la que un juez federal les permitió ingresar, según funcionarios encargados de hacer cumplir la ley y documentos judiciales.
El departamento de justicia dijo que incautó 63,7 bitcoins, valorados en unos 2,3 millones de dólares. (El valor de Bitcoin ha caído durante el último mes).
"El uso sofisticado de la tecnología para mantener empresas e incluso ciudades enteras como rehenes con fines de lucro es decididamente un desafío del siglo XXI, pero el viejo adagio 'sigue el dinero' todavía se aplica", dijo Lisa Monaco, fiscal general adjunta, en la conferencia de prensa. en el departamento de justicia.
Los funcionarios encargados de hacer cumplir la ley destacaron la incautación en un esfuerzo por advertir a los ciberdelincuentes que Estados Unidos planeaba apuntar a sus ganancias, que a menudo se obtienen a través de criptomonedas como Bitcoin. También tenía la intención de alentar a las víctimas de ataques de ransomware, que ocurren cada ocho minutos, en promedio, a notificar a las autoridades para ayudar a recuperar los rescates.
Durante años, las víctimas han optado por pagar discretamente a los ciberdelincuentes, calculando que el pago sería más barato que reconstruir datos y servicios. Aunque el FBI desalienta los pagos de rescate, estos son legales e incluso deducibles de impuestos. Pero los pagos, que en conjunto suman miles de millones de dólares, han financiado y envalentonado a grupos de ransomware.
Los funcionarios del departamento de justicia dijeron que la voluntad de Colonial de hacer un bucle rápidamente en el FBI ayudó a recuperar la parte del rescate, y le dieron crédito a la compañía por su papel en un esfuerzo único en su tipo por parte de un nuevo grupo de trabajo de ransomware en el departamento para secuestrar un delito cibernético. beneficios del grupo.
"Debemos seguir tomándonos en serio las amenazas cibernéticas e invertir en consecuencia para fortalecer nuestras defensas", dijo Joseph Blount, director ejecutivo de Colonial, en un comunicado. Blount dijo que después de que su compañía se puso en contacto con el FBI y el departamento de justicia para notificarles del ataque, los investigadores ayudaron a Colonial a comprender a los piratas informáticos y sus tácticas.
El anuncio del departamento de justicia también se produjo antes de la reunión programada del presidente Joe Biden con el presidente Vladimir Putin de Rusia la próxima semana en Ginebra, donde se espera que Biden aborde lo que los funcionarios estadounidenses ven como la voluntad del Kremlin de brindar protección a los piratas informáticos. Rusia normalmente no arresta ni extradita a sospechosos en ataques de ransomware.
El New York Times informó el mes pasado que el pago del rescate de Colonial Pipeline se había salido de la billetera Bitcoin de DarkSide, aunque no estaba claro quién había orquestado el movimiento.
El lunes, el gobierno llenó algunos de los espacios en blanco. DarkSide opera proporcionando ransomware a los afiliados. A cambio, DarkSide obtiene una parte de sus ganancias.
Los funcionarios dijeron que habían identificado una cuenta de moneda virtual, a menudo denominada billetera, que DarkSide usaba para cobrar el pago de una víctima de ransomware, identificada en los documentos judiciales solo como Víctima X, pero cuyos detalles de piratería coinciden con los de Colonial. Los funcionarios dijeron que un juez magistrado en el Distrito Norte de California había aprobado una orden el lunes para incautar fondos de la billetera.
El FBI comenzó a investigar DarkSide el año pasado e identificó a más de 90 víctimas en múltiples sectores de la economía, incluida la manufactura, el derecho, los seguros, la atención médica y la energía, dijo Paul Abbate, subdirector del FBI, en la conferencia de prensa.
DarkSide apareció por primera vez en agosto y se cree que comenzó como afiliado de otro grupo de piratería ruso, llamado REvil, antes de abrir su propia operación el año pasado.
Semanas después de que DarkSide atacara a Colonial, REvil utilizó ransomware para tratar de extorsionar a JBS, uno de los procesadores de carne más grandes del mundo. El ataque obligó a la empresa a cerrar nueve plantas de carne de res en Estados Unidos, interrumpió las plantas de aves de corral y porcino y tuvo efectos significativos en las tiendas de abarrotes y restaurantes, que han tenido que cobrar más o eliminar los productos cárnicos de sus menús.
En las últimas semanas, el ransomware también ha paralizado el hospital que atiende a The Villages en Florida, la comunidad de jubilados más grande de Estados Unidos; cadenas de televisión; Equipos de béisbol de la NBA y de las ligas menores; e incluso transbordadores a Nantucket y Martha's Vineyard en Massachusetts.
Los episodios han elevado las vulnerabilidades digitales a la conciencia nacional. Los funcionarios de la Casa Blanca dijeron la semana pasada que estaban trabajando para abordar problemas con la criptomoneda, que ha permitido ataques de ransomware durante años.
La semana pasada, Christopher Wray, director del FBI, comparó la amenaza de los ataques de ransomware con el desafío del terrorismo global en los días posteriores a los ataques del 11 de septiembre de 2001.
“Hay muchos paralelismos, hay mucha importancia y nos enfocamos mucho en la interrupción y la prevención”, dijo. "Existe una responsabilidad compartida, no solo entre las agencias gubernamentales, sino también entre el sector privado e incluso el estadounidense promedio".
Wray agregó que el FBI estaba investigando 100 variantes de software utilizadas en ataques de ransomware, lo que demuestra la magnitud del problema.
Aunque los funcionarios estadounidenses han tenido cuidado de no vincular directamente los ataques de ransomware a Rusia, Biden, Wray y otros han dicho que el país protege a los ciberdelincuentes.
En muchos casos, Rusia los trata como activos nacionales. En una violación de Yahoo en 2014, por ejemplo, los oficiales de inteligencia rusos trabajaron codo con codo con los ciberdelincuentes, permitiéndoles sacar provecho de los datos robados, mientras les indicaban que pasaran cuentas de correo electrónico al FSB, la agencia sucesora de la KGB de la era soviética.
Putin ha comparado a los piratas informáticos con "artistas que se despiertan por la mañana de buen humor y comienzan a pintar". La realidad, dicen los funcionarios estadounidenses, es que le dan a Putin y a los servicios de inteligencia rusos una capa de negación plausible.
No solo se espera que Biden aborde el problema con Putin, sino que el Departamento de Estado también está en conversaciones con otras dos docenas de países sobre formas de presionar mutuamente a Rusia para que aborde el delito cibernético.
"Si el gobierno ruso quiere demostrar que se toma en serio este tema, hay mucho espacio para que demuestren un progreso real que no estamos viendo", dijo Wray la semana pasada.
Anne Neuberger, asesora adjunta de seguridad nacional para tecnologías cibernéticas y emergentes, advirtió a las empresas estadounidenses la semana pasada que el ransomware había dado un giro oscuro, y señaló un cambio reciente "de robar datos a interrumpir las operaciones".
Los piratas informáticos apuntaron directamente a los sistemas de facturación de Colonial. Con esos congelados, los ejecutivos descubrieron que no tenían forma de cobrar a los clientes y cerrar las operaciones de manera preventiva. Una evaluación confidencial del gobierno determinó que si el oleoducto se hubiera cerrado incluso por dos días más, el ataque podría haber puesto de rodillas a las refinerías químicas y de tránsito masivo, que dependen de Colonial para transportar diesel.
La Casa Blanca celebró reuniones de emergencia para abordar el ataque. La administración de Biden anunció que exigiría a las empresas de oleoductos que informaran sobre ciberataques importantes y que el gobierno crearía centros de emergencia las 24 horas del día para manejar piratas informáticos graves.
Los expertos en ciberseguridad dieron la bienvenida a la decisión del departamento de justicia.
“Ha quedado claro que necesitamos usar varias herramientas para detener la marea” del ransomware, dijo John Hultquist, vicepresidente de la firma de ciberseguridad FireEye. "Un mayor enfoque en la disrupción puede desincentivar este comportamiento, que está creciendo en un círculo vicioso".
Este artículo apareció originalmente en The New York Times.
Katie Benner y Nicole Perlroth c.2022 The New York Times Company

Via: FirstPost