BlackEnergy

BlackEnergy es la denominación del malware empleado en el primer ciberataque de la historia que logró provocar cortes de suministro eléctrico a gran escala. El ataque tuvo lugar el 23 de diciembre de 2015 contra el sistema energético de Ucraniam, más tarde atribuido por el gobierno de Estados Unidos (y cualquiera con dos dedos de frente) a APTs rusas, más concretamente, y para no variar, a Sandworm. El incidente dejó sin electricidad a aproximadamente 225.000 personas que eran clientes de tres compañías regionales de distribución eléctrica durante un período de hasta seis horas en medio de un invierno nada acogedor.

Este incidente fue muy relevante ya que ponía de manifiesto que ciberataque coordinado podía trascender lo digital para causar daños físicos directos sobre infraestructura crítica civil, ciberguerra de la que emocionaría a Christopher Nolan. El Departamento de Seguridad Nacional de Estados Unidos (DHS), a través de su ICS-CERT, desplegó un equipo en Ucrania para investigar los hechos, confirmando que los cortes habían sido provocados por un actor amenaza (threat actor). Estos hallazgos fueron documentados poco tiempo después por un amplio abanico de instituciones y

Campaña

Antes de hablar de este ataque es importante conocer la situación de Rusia por aquella época.

Rusia ha sido conocida desde hace décadas por su interés en la "guerra híbrida", más específicamente en lo que ellos denominaron "doctrina Gerasimov". Esta doctrina se basa en la idea de que la línea entre la guerra y la paz es difusa per se, lo que permite a los países librar batallas sin declarar formalmente la guerra. Esta doctrina evolucionaría más tarde hasta convertirse en el término conocido como Guerra de Nueva Generación (en inglés New Generation Warfare - NGW).

Entendiendo esto, aparece un ejemplo muy claro en nuestra mente, la invasión de Crimea. Esto se inicia cuando Rusia genera discordia en Ucrania en 2014 al avivar las tensiones apoyando a elementos extremistas de ambos bandos en el país, prorrusos y proucranianos, exacerbando así las tensiones y creando más inestabilidad. Posteriormente, Rusia continuó con esta estrategia para tomar Crimea con tropas sin identificar, apoderándose de infraestructura clave e instalando un liderazgo prorruso en la región para luego celebrar un referéndum rápido en el que anexó Crimea con éxito. Todo esto se puede entender si prestamos atención a por qué lo hizo: Rusia necesitaba un puerto para la Flota del Mar Negro, un acercamiento muy similar a lo ocurrido en Siria con sus bases en Latakia y Tartus.

Volviendo al ataque, todo comenzó meses antes de los cortes, con una campaña de [spear phishing]/repositorio/phishing/) dirigida contra personal de las compañías eléctricas ucranianas. Los correos electrónicos incluían archivos adjuntos maliciosos de Microsoft Office (documentos Word y hojas de cálculo Excel) que contenían macros VBA diseñadas para desplegar el troyano BlackEnergy 3 en los sistemas de las víctimas (por aquel entonces no estaban deshabilitados, muy mal Bill Gates).

Una vez obtenido el acceso inicial, los atacantes llevaron a cabo un extenso reconocimiento de las redes corporativas y de los sistemas de control industrial (ICS/SCADA) durante varios meses. Durante esta fase:

• Recolección de credenciales: El malware desplegó un plugin keylogger para capturar nombres de usuario y contraseñas. Adicionalmente, los atacantes utilizaron sniffing de red para interceptar credenciales que viajaban entre la red corporativa y los sistemas de control industrial.
• Escalada de privilegios y movimiento lateral: Con las credenciales robadas, crearon cuentas de dominio privilegiadas y se desplazaron lateralmente hacia los entornos OT (tecnología operativa), utilizando herramientas de administración remota legítimas y conexiones VPN.
• Acceso a los sistemas de control: Los atacantes obtuvieron acceso directo a las interfaces hombre-máquina (HMI) del sistema SCADA, que permitían a los operadores controlar remotamente los interruptores (breakers) de las subestaciones eléctricas.

El 23 de diciembre de 2015, el ataque se ejecutó de forma sincronizada y coordinada, como le gusta a Sandworm. Según el personal entrevistado por el equipo de ICS-CERT, los ciberataques a cada una de las tres compañías ocurrieron con menos de 30 minutos de diferencia entre sí. Los atacantes, formados por múltiples operadores humanos externos y no procesos automatizados, utilizaron el software legítimo de control industrial a través de conexiones VPN para abrir remotamente decenas de interruptores en subestaciones centrales y regionales.

En el caso de la compañía "Prykarpattyaoblenergo", los atacantes emplearon un método particularmente llamativo: tomaron control directo del cursor del ratón de los operadores mediante la herramienta de helpdesk de la empresa, bloqueando a los ingenieros de su propia interfaz mientras abrían los interruptores uno a uno delante de sus narices.

En lo referente al malware y la kill chain, BlackEnergy era un troyano modular que evolucionó desde una simple herramienta de denegación de servicio (DDoS) hasta convertirse en una plataforma de ataque muy sofisticada. Su arquitectura basada en plugins le permitió cargar distintos módulos según el objetivo que tuviera el gobierno Ruso: desde capacidades para registrar pulsaciones de teclado (un keylogger de toda la vida), capturar credenciales almacenadas en el sistema, espiar el tráfico de red, establecer puertas traseras (mucho mejor en inglés, backdoor) que garantizaran acceso remoto y persistente y, además, descargar e instalar cargas adicionales (de nuevo en inglés, payloads) como el componente destructivo KillDisk.

Tras completar los cortes, los atacantes lanzaron una fase destructiva diseñada para dificultar la restauración del servicio:

• Ejecución del wiper KillDisk en estaciones de trabajo y servidores, sobrescribiendo el Master Boot Record (MBR) y dejando los sistemas inoperables.
• Sobrescritura del firmware de los convertidores Serial-to-Ethernet en las subestaciones, inutilizando permanentemente los dispositivos y bloqueando la comunicación con los equipos de control.
• Apagado programado de los sistemas de alimentación ininterrumpida (UPS) que respaldaban los servidores de datos y telefonía, dejando los centros de control sin energía de respaldo durante la emergencia.
• Ataque de denegación de servicio (DDoS) contra los centros de atención telefónica, impidiendo que los clientes reportaran los cortes.

Consecuencias e Impacto

Este ataque, como no es sorprendente, tuvo profundas repercusiones. La primera sería lo más obvio, las 225.000 personas en tres regiones del oeste de Ucrania que permanecieron sin suministro eléctrico hasta 6 horas. Aunque la energía fue restaurada manualmente por los ingenieros, las tres compañías continuaron operando pero bajo mínimos.

Por otra parte, los daños operacionales. Los sistemas destruidos por KillDisk y los convertidores Serial-to-Ethernet con firmware corrupto requirieron un reemplazo físico.

En lo referente a la atribución, se realizó formalmente en julio de 2021 cuando el gobierno de Estados Unidos atribuyó formalmente esta actividad a actores cibernéticos asociados al estado ruso. Algo antes, en octubre de 2020, el Departamento de Justicia de EE.UU. imputó a seis oficiales del GRU ruso por su participación en esta y otras operaciones ofensivas, incluyendo los ataques con el malware NotPetya (2017) y las operaciones de interferencia electoral.

Por otra parte, este ataque demostró de forma inequívoca que los sistemas de control industrial conectados a redes corporativas o a internet estaban al alcance de actores suficientemente sofisticados. Esto fue un "wake up call" para todos los gobiernos, ver que realmente existía la posibilidad de que un ataque destructivo pudiera dejar ciudades sin luz de forma remota, sin botas en el terreno. El grupo Sandworm continuó evolucionando sus capacidades ofensivas contra infraestructura crítica y en diciembre de 2016, un segundo ataque contra la subestación de transmisión de Ukrenergo al norte de Kiev utilizó el malware CrashOverride (conocido como Industroyer). Desde entonces Sandworm sigue siendo el número uno en lo que a ataques destructivos se refiere.