Según un informe de Dragos, los ataques a infraestructuras críticas, tanto de actores de amenazas nuevos como antiguos, siguen al alza.
De acuerdo con este informe, en 2022 se produjo un importante aumento en la sofisticación y la cantidad de ataques dirigidos a infraestructuras críticas.
Especialmente en el sector industrial, esto se vio impulsado con la utilización de un kit de herramientas de malware modular que es capaz de atacar decenas de miles de sistemas de control industrial (ICS) en diferentes verticales de la industria.
Además, el informe también señala que el 80% de los entornos afectados carecían de visibilidad del tráfico de ICS, y casi el 50% tenía problemas de segmentación de red y conexiones externas no controladas en sus redes de tecnología operativa (OT).
Dragos ha rastreado un total de 20 grupos de ciberamenazas que han estado apuntando a organizaciones de infraestructura industrial desde 2020. El año pasado, ocho de estos grupos estaban activos, incluidos dos nuevos que la compañía denominó Chernovite y Bentonite.
De estos dos, destaca Chernovite, el grupo detrás de una plataforma de malware altamente sofisticada capaz de atacar sistemas de control industrial y descubierto a principios de 2022. Este malware tiene capacidades disruptivas y destructivas muy efectivas.
Se cree que Chernovite ha tenido como objetivos a alrededor de una docena de sitios clave de electricidad y gas natural líquido, aunque no se limita exclusivamente a estas empresas. El aspecto negativo es que no hay ninguna vulnerabilidad para parchear, ya que se trata principalmente de una funcionalidad nativa.
Por lo tanto, y ante las muchas posibilidades de que vuelva a la acción, las organizaciones que solo se enfocan en la prevención y no también en la detección y respuesta, sufrirán peores consecuencias.
Otras amenazas a infraestructuras críticas
Bentonite, el segundo actor de amenazas detectado en 2022, se dirige principalmente a las industrias manufacturera y de petróleo y gas, aprovechando cualquier conexión de acceso remoto expuesta que encuentren o explotando los activos de Internet.
Según Dragos, se trata de un grupo que recopila información que le permitiría pasar a las redes OT en el futuro. Otro grupo aún activo en 2022 fue Kostovite, un grupo detectado inicialmente en 2021 que ha demostrado capacidad para realizar movimientos laterales y llegar a las redes OT e ICS. Por lo general, explota los entornos perimetrales de la empresa y puede usar vulnerabilidades de día cero.
Kamacite y Electrum son dos grupos asociados con Sandworm, que se cree que es una unidad del servicio de inteligencia militar ruso (GRU). Sandword ha sido responsable de ataques destructivos con el malware NotPetya, de múltiples ataques contra la red eléctrica ucraniana utilizando los programas de malware BlackEngery e Industroyer.
Xenomite es otro grupo más antiguo que permanece activo y parece enfocado en organizaciones de electricidad, petróleo y gas en el Medio Oriente y Estados Unidos. Este grupo desarrolló Triton, un marco de malware capaz de deshabilitar los sistemas de seguridad instrumentados (SIS) Trisis utilizados por una organización en Arabia Saudí en 2017.
Esto lo convierte en uno de los grupos con gran capacidad para destruir una infraestructura crítica.
Falta de visibilidad
Además de las amenazas dirigidas de estos grupos, Dragos también señala que los ataques de ransomware contra organizaciones industriales aumentaron un 87% el año pasado, siendo la fabricación el sector más afectado.
LockBit fue responsable de la mayor cantidad de ataques, seguido por el ahora desaparecido grupo de ransomware Conti, Black Basta y Hive.
Asimismo, de acuerdo con las evaluaciones de seguridad realizadas por la compañía, el problema más común es la falta de visibilidad dentro del entorno ICS, ya que el 80% de los clientes tenían una visibilidad limitada de sus tecnologías operativas.
