Ataque de ransomware a compañía de oleoducto afecta el suministro de combustible en Estados Unidos

El pasado 7 de mayo un ataque del ransomware DarkSide impactó a Colonial Pipeline, la compañía de oleoducto más importante de Estados Unidos, provocando el corte del suministro de nafta, diesel y otros productos refinados para un tramo de aproximadamente 8850 kilómetros que va desde Texas hasta Nueva York. La compañía confirmó al día siguiente el ciberataque y afirmó que para contener la amenaza tuvieron que desconectar algunos equipos.

Según confirmó el FBI, el responsable de este ataque es el ransomware DarkSide. Por otra parte, la compañía comunicó este lunes que continúan trabajando para restaurar de vuelta sus sistemas de manera rápida pero también segura, aunque aclara que este es un proceso que lleva tiempo. Según publicó BBC, los atacantes habrían robado más de 100 GB con información de la compañía.

Las consecuencias de este ataque a una infraestructura crítica tan importante como Colonial Pipeline llevó a que la Administración Federal de Seguridad de Autotransportistas (FMCSA, por sus siglas en inglés) declarara la emergencia regional en Alabama, Arkansas, Washington D.C., Delaware, Florida, Georgia, Kentucky, Luisiana, Maryland, Misisipi, Nueva Jersey, Nueva York, Carolina del Norte, Pensilvania, Carolina del Sur, Tennessee, Texas, y Virginia.

Cabe destacar que el suministro de productos refinados del petróleo que realiza Colonial Pipeline a refinerías locales y otros mercados representa el 45% del combustible que se consume en la Costa Este de los Estados Unidos y a más de 50 millones de habitantes.

Si bien no se precisaron detalles acerca de cómo fue que lograron comprometer los sistemas de Colonial Pipeline, vale la pena mencionar que muchos grupos de ransomware han estado aprovechando —entre otras vías de acceso inicial— las conexiones remotas como el RDP para acceder a los sistemas de las víctimas. Según una charla que se realizó en febrero de 2020 (antes del inicio de la pandemia) en la conferencia RSA, el agente del FBI, Joel DeCapua, más del 80% de los ataques de ransomware exitosos se llevaron adelante logrando vulnerar la red mediante ataques de fuerza bruta a las credenciales del RDP. Con el diario del lunes sabemos lo que ocurrió a raíz de la pandemia y el aumentó el trabajo remoto en el mundo, con muchas empresas que se vieron obligadas por la situación a hacer uso de herramientas para permitir que los empleados puedan conectarse remotamente a los sistemas de la compañía. Este fenómeno también fue aprovechado por los atacantes, que si bien ya abusaban las conexiones remotas como el RDP antes de este fenómeno, datos de ESET demuestran que durante el 2020 los ataques al RDP crecieron 768% entre el primer y último trimestre de 2020. 

DarkSide: el grupo detrás de este ataque

Visto por primera vez en agosto de 2020, DarkSide es un ransomware que opera bajo el modelo de Ransomware-as-a-Service (RaaS, por sus siglas en inglés) que realiza ataques dirigidos y que suele solicitar montos elevados para el pago de los rescates. Bajo el modelo de RaaS participan básicamente quienes desarrollan la amenaza y los afiliados, que son quienes se ocupan de distribuir el ransomware. Entre estas dos partes se dividen las ganancias que obtienen por el pago del rescate. Curiosamente, este lunes la banda detrás de este ransomware lanzó un comunicado señalando que debido a que no quieren generar consecuencias sociales, de ahora en adelante monitorearán los blancos apuntados por los afiliados para evitar en el futuro que se realicen ataques que terminen afectando a la sociedad. 

Este grupo es el mismo que en octubre de 2020 anunciaba que donaría parte del dinero obtenido de los rescates a una organización sin fines de lucro que colabora con niños que viven en extrema pobreza. Sin embargo, según explicó BleepingComputer tras la declaración pública de la donación la organización se vio obligada a rechazar el dinero por haberse generado de manera ilegal. 

Al igual que otros grupos de ransomware que han tenido importante actividad en el último tiempo, DarkSide sustrae información de los sistemas comprometidos antes de cifrar la información y en caso de no querer negociar el pago del rescate extorsiona a sus víctimas con filtrar la información en un sitio específicamente creado para ese fin. 

Una señal de alerta para la infraestructura crítica 

La gravedad y el alcance del ataque nos hace recordar al ataque que sufrió en febrero otra infraestructura crítica en Estados Unidos: una planta potabilizadora de agua en Oldsmar, Florida. En esa oportunidad, los atacantes aparentemente lograron acceder a los sistemas a través de TeamViewer, un software ampliamente utilizado para brindar soporte y acceso remoto, e intentaron envenenar el suministro de agua de la ciudad al manipular los niveles químicos de hidróxido de sodio. 

Por otra parte, vale la pena mencionar que este no es el primer ataque a compañías del sector energético en el mundo. En 2019 la petrolera mexicana Pemex sufría un ataque a manos del ransomware Dopplepaymer, mientras que en el 2020 en Brasil otras compañías energéticas como Electrobras y Copel sufrían también un ataque de ransomware; esta última también a manos de DarkSide.