Energía nuclear
Espionaje nuclear I

Artículo publicado originalmente en Beyond Nuclear International.

El tuit se basaba en una pieza de información acerca del virus Dtrack virus en VirusTotal, un depósito digial de malware (código malicioso). Una versión del virus Dtrack que aparecía en VirusTotal incluía credenciales específicas a la red interna de KKNPP, indicando que el virus había infectado varios ordenadores dentro de la central.

La energía nuclear es una fuente eléctrica única. Una de sus peculiaridades es su vulnerabilidad: puede sufrir accidentes que liberen contaminación radioactiva al medio natural en miles o decenas de miles de kilómetros a la redonda, conduciendo a la evacuación de las poblaciones humanas durante décadas o siglos. Para evitar accidentes así, la construcción de centrales requiere de enormes cantidades de acero y cemento, estándares de seguridad y varias capas de sistemas de control.

Pese a todas estas medidas, ha habido varios accidentes de menor o mayor magnitud, desde los orígenes de la era nuclear. Cada accidente suele evidenciar una nueva vulnerabilidad, ya que suceden por fallos que los diseñadores no consideraron posibles. Descubrir que hackers pueden infectar ordenadores en una central, potencialmente afectando la operación física de los reactores, es otra vulnerabilidad que hasta ahora no habíamos imaginado.

Además de los aspectos técnicos de los accidentes nucleares, la naturaleza de las organizaciones responsables de estas tecnologías puede afectar tanto la probabilidad como la severidad de los accidentes.

Hay muchos académicos que investigan tecnologías peligrosas y han identificado tres características de las organizaciones que ayudan a mitigar los accidentes. Las tres tienen que ver con el comportamiento de las personas responsables: con priorizar la seguridad de diseño y de las operaciones, la mantención de estándares y prácticas seguras, y la capacidad de aprender de los errores. Lo poco que sabemos de la respuesta de la Corporación de la Energía Nuclear de India al ataque a KKNPP sugiere que no demuestran ninguna de estas prioridades. Y desde entonces, mucho menos la última.

Qué sucedió

El virus Dtrack es bastante conocido en el mundillo informático. La firma de ciberseguridad Kasperskyha ha informado de que versiones iniciales, conocidas como ATMDtrack, habían robado información sobre las tarjetas de crédito de varios cajeros indios. Dtrack es la variante más amplia, y se ha infiltrado en varios centros de investigación e instituciones financieras indias. El malware utiliza una herramienta de administración remota que permite a terceros conseguir un control total sobre los dispositivos infectados.

Específicamene, la versión más exitosa de Dtrack “es capaz de enumerar documentos disponibles y procesos en marcha, keylogging (registro de teclas), historial del explorador y la IP”, de acuerdo con la descripción de Kaspersky. Estas funciones indican que el objetivo primario del virus Dtrack es espiar o robar información de sus víctimas.

Específicamene, la versión más exitosa de Dtrack “es capaz de enumerar documentos disponibles y procesos en marcha, keylogging (registro de teclas), historial del explorador y la IP”, de acuerdo con la descripción de Kaspersky. Estas funciones indican que el objetivo primario del virus Dtrack es espiar o robar información de sus víctimas.

De acuerdo con las similitudes de otro ataque de malware en Corea del Sur, Kaspersky ha atribuido Dtrack al grupo de hackers Lazarus. Lazarus ha atacado en varios países: los casos más sonados han sido WannaCry y Sony Breach. Kaspersky ha relacionado la actividad de Lazarus con IPs de Corea del Norte. Sin embargo, la empresa de ciberseguridad admite que pueden tratarse de operaciones de falsa bandera y que el auténtico origen de los ataques sea otro.

En el caso de la KKNPP, el robo de documentos sugiere que los hackers tenían acceso a la red de información interna (IT) de la central. Esta red contiene información perteneciente a la organización de la central, pagos y gestión.

Mientras que se puede encontrar información valiosa, como la personal o las prácticas empresariales en las redes IT, no se las considera tan importantes como las redes de tecnología operacional (OT). Las redes OT incluyen procesos industriales. En KKNPP la OT controlaba la seguridad de los reactores.

Más reportajes e investigaciones de otros investigadores de ciberseguridad apuntan a que la variante Dtrack de la KKNPP incluía credenciales específicas de las redes de la central dentro del código del propio virus. Esto lleva a pensar que el ataque de octubre de 2019 era bastante sofisticado y en busca de información específica de esta. Podría tratarse de una segunda versión del virus, surgida de una infección previa. Al incluir en el código información específica de las redes KKNPP, los hackers han intentado crear una nueva versión más letal. Hay precedentes de hackers aprovechando su presencia persistente en una red de lanzar ataques más complejos y devastadores. Un ejemplo fueron los ciberataques de 2015 y 2016 contra la red eléctrica ucraniana.

Pese a estas revelaciones tan preocupantes, es válido pensar que no se buscara causar un daño directo a la KKNPP. Los hackers podrían estar solo buscando información y no afectar las operaciones de la central. ¿Qué puede motivar una expedición de este calibre? Porque un hacker, sea una persona física o un grupo, de querer causar un daño importante a una central nuclear, puede encontrar como su mayor obstáculo la obtención de información técnica sobre su diseño.

Sabemos que, muy probablemente, en el caso del ataque Stuxnet de los servicios de inteligencia israelíes y esadounidenses para sabotear el programa de enriquecimiento de uranio en Irán, seguramente el componente de espionaje fue quizás el más caro de toda la operación. Ralph Langner, la persona que más mérito se ha llevado por la descodificación del ataque Stuxnet, ha estimado que su desarrollo puede haber costado “alrededor de 10 millones de dólares”.

Malware, como el del virus Dtrack, busca conseguir información, y, por tanto, reducir el precio de ciberataques complejos.

Traducción de Raúl Sánchez Saura.