ESET analizó un ataque del ransomware DarkSide que impactó a Colonial Pipeline, la compañía de oleoducto más importante de Estados Unidos, provocando el corte del suministro de nafta y diesel desde Texas hasta Nueva York.
Colonial Pipeline se vio obligada a la interrupción sus sistemas, lo que generó el corte del suministro de nafta, diesel y otros productos refinados para un tramo de aproximadamente 8850 kilómetros que va desde Texas hasta Nueva York.
La compañía confirmó el ciberataque y afirmaron que para contener la amenaza tuvieron que desconectar algunos equipos. Según mencionaron del FBI, el responsable de este ataque es el ransomware DarkSide.
Colonial Pipeline continuó trabajando para restaurar de vuelta sus sistemas de manera rápida pero también segura, aunque aclaró que este es un proceso que lleva tiempo. Según publicó BBC, los atacantes habrían robado más de 100 GB con información de la compañía.
El suministro de productos refinados del petróleo que realiza la empresa a refinerías locales y otros mercados representa el 45% del combustible que se consume en la Costa Este de los Estados Unidos y a más de 50 millones de habitantes.
Asimismo, 17 estados afectados declararon estado de emergencia luego de que Colonial Pipeline interrumpiera sus sistemas
Si bien no se precisaron detalles acerca de cómo fue que se lograron comprometer los sistemas de la empresa, los grupos de ransomware han estado aprovechando, entre otras vías de acceso inicial- las conexiones remotas como el RDP para acceder a los sistemas de las víctimas.
“A raíz de la pandemia y el aumentó el trabajo remoto en el mundo, las empresas se vieron obligadas a hacer uso de distintas herramientas para permitir que los empleados puedan conectarse remotamente a los sistemas de la compañía«, menciona Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.
«Esto también fue aprovechado por los atacantes que, si bien ya abusaban las conexiones remotas como el RDP antes del aislamiento, datos de ESET demuestran que durante el 2020 los ataques al RDP crecieron 768% entre el primer y último trimestre de 2020”, explicó.
DarkSide
DarkSide es un ransomware que opera bajo el modelo de Ransomware-as-a-Service (RaaS, por sus siglas en inglés) que realiza ataques dirigidos y que suele solicitar montos elevados para el pago de los rescates.
Bajo el modelo de RaaS participan básicamente quienes desarrollan la amenaza y los afiliados, que son quienes se ocupan de distribuir el ransomware. Entre estas dos partes se dividen las ganancias que obtienen por el pago del rescate.
Al igual que otros grupos de ransomware, DarkSide sustrae información de los sistemas comprometidos antes de cifrar la información y en caso de no querer negociar el pago del rescate extorsiona a sus víctimas con filtrar la información en un sitio específicamente creado para ese fin.
En febrero de este año otra infraestructura crítica en Estados Unidos sufrió una ataque: una planta potabilizadora de agua en Oldsmar, Florida.
En esa oportunidad, los atacantes aparentemente lograron acceder a los sistemas a través de TeamViewer, un software utilizado para brindar soporte y acceso remoto, e intentaron envenenar el suministro de agua de la ciudad al manipular los niveles químicos de hidróxido de sodio.
Por otra parte, este no es el primer ataque a compañías del sector energético en el mundo. En 2019, la petrolera mexicana Pemex sufría un ataque a manos del ransomware Dopplepaymer, mientras que en el 2020 en Brasil otras compañías energéticas como Electrobras y Copel sufrían también un ataque de ransomware; esta última también a manos de DarkSide.
