Ciberataque al Gobierno de Costa Rica
El ciberataque al Gobierno de Costa Rica fue un ataque informático de índole extorsivo iniciado la noche (UTC-6:00) del domingo 17 de abril del 2022 en perjuicio de casi una treintena de instituciones públicas, incluido el Ministerio de Hacienda, el Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (MICITT), el Instituto Meteorológico Nacional (IMN), la Radiográfica Costarricense S. A. (RACSA), la Caja Costarricense de Seguro Social, el Ministerio de Trabajo y Seguridad Social (MTSS), el Fondo de Desarrollo Social y Asignaciones Familiares (FODESAF) y la Junta Administrativa del Servicio Eléctrico Municipal de Cartago (JASEC). El grupo prorruso Conti Group se adjudicó el primer grupo de ataques y solicitó un rescate de 10 millones de dólares estadounidenses a cambio de no liberar la información sustraída del Ministerio de Hacienda, la cual podía incluir información sensible como las declaraciones de impuestos de los ciudadanos y empresas que operan en Costa Rica. Como consecuencia, el gobierno debió dar de baja los sistemas informáticos empleados para declarar impuestos, así como los sistemas para el control y manejo de las importaciones y exportaciones causando pérdidas al sector productivo por el orden de los 30 millones de dólares diarios. Costa Rica requirió asistencia técnica de los Estados Unidos, Israel, España y de la empresa Microsoft, entre otras, para afrontar el ataque cibernético, que consistió en infecciones a sistemas informáticos con ransomware, defacement de páginas web, sustracción de archivos de correos electrónicos y ataques al portal de recursos humanos de la Seguridad Social, así como a su cuenta oficial de Twitter. El 6 de mayo del 2022 el gobierno de los Estados Unidos a través del FBI ofreció una recompensa de 10 millones de dólares por información que permitiera identificar a una persona o personas en posición de liderazgo dentro de Conti Group, y 5 millones de dólares adicionales por información que permitiera la captura o condena, en cualquier país, de personas que ayudaran o conspiraran en realizar ataques con el ransomware de Conti. El 8 de mayo de 2022 el nuevo presidente de Costa Rica, Rodrigo Chaves Robles, decretó el estado de emergencia nacional debido a los ciberataques, al considerarlos un acto de terrorismo. Días después, en una conferencia de prensa, afirmó que el país estaba en estado de guerra y que había evidencias de que gente dentro de Costa Rica estaba ayudando a Conti, por lo que los calificó de "traidores" y "filibusteros". El 31 de mayo del 2022 en horas de la madrugada Hive Ransomware Group realizó un ataque contra la Caja Costarricense de Seguro Social (CCSS), obligando a la institución a apagar todos sus sistemas críticos, incluido el Expediente Digital Único en Salud (EDUS) y el Sistema Centralizado de Recaudación (SICERE). El primero almacena la información médica sensible de los pacientes que atiende la Seguridad Social, mientras que el segundo es el utilizado para el cobro de las cuotas de aseguramiento de la población.
From Wikipedia, the free encyclopedia
Costa Rica| Ciberataque al Gobierno de Costa Rica | ||
|---|---|---|
 Página web del Ministerio de Hacienda mostrando un mensaje plano avisando de los trabajos para recuperar los servicios a raíz del ataque. | ||
| Lugar |
Costa Rica | |
| Blanco | Gobierno de Costa Rica | |
| Fecha | 17 de abril-31 de mayo de 2022 | |
| Tipo de ataque | Ciberataque | |
| Arma | Ransomware | |
| Perpetrador |
Conti Group Hive Ransomware Group | |
El ciberataque al Gobierno de Costa Rica fue un ataque informático de índole extorsivo iniciado la noche (UTC-6:00) del domingo 17 de abril del 2022 en perjuicio de casi una treintena de instituciones públicas, incluido el Ministerio de Hacienda, el Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (MICITT), el Instituto Meteorológico Nacional (IMN), la Radiográfica Costarricense S. A. (RACSA), la Caja Costarricense de Seguro Social, el Ministerio de Trabajo y Seguridad Social (MTSS), el Fondo de Desarrollo Social y Asignaciones Familiares (FODESAF) y la Junta Administrativa del Servicio Eléctrico Municipal de Cartago (JASEC).[1][2]
El grupo prorruso Conti Group se adjudicó el primer grupo de ataques y solicitó un rescate de 10 millones de dólares estadounidenses a cambio de no liberar la información sustraída del Ministerio de Hacienda, la cual podía incluir información sensible como las declaraciones de impuestos de los ciudadanos y empresas que operan en Costa Rica.[3][4][5]
Como consecuencia, el gobierno debió dar de baja los sistemas informáticos empleados para declarar impuestos, así como los sistemas para el control y manejo de las importaciones y exportaciones causando pérdidas al sector productivo por el orden de los 30 millones de dólares diarios.[6][7]
Costa Rica requirió asistencia técnica de los Estados Unidos, Israel, España y de la empresa Microsoft, entre otras, para afrontar el ataque cibernético, que consistió en infecciones a sistemas informáticos con ransomware, defacement de páginas web, sustracción de archivos de correos electrónicos y ataques al portal de recursos humanos de la Seguridad Social, así como a su cuenta oficial de Twitter.[8][9]
El 6 de mayo del 2022 el gobierno de los Estados Unidos a través del FBI ofreció una recompensa de 10 millones de dólares por información que permitiera identificar a una persona o personas en posición de liderazgo dentro de Conti Group, y 5 millones de dólares adicionales por información que permitiera la captura o condena, en cualquier país, de personas que ayudaran o conspiraran en realizar ataques con el ransomware de Conti.[10][11]
El 8 de mayo de 2022 el nuevo presidente de Costa Rica, Rodrigo Chaves Robles, decretó el estado de emergencia nacional debido a los ciberataques, al considerarlos un acto de terrorismo. Días después, en una conferencia de prensa, afirmó que el país estaba en estado de guerra[12][13] y que había evidencias de que gente dentro de Costa Rica estaba ayudando a Conti, por lo que los calificó de "traidores" y "filibusteros".[14][15]
El 31 de mayo del 2022 en horas de la madrugada Hive Ransomware Group realizó un ataque contra la Caja Costarricense de Seguro Social (CCSS), obligando a la institución a apagar todos sus sistemas críticos, incluido el Expediente Digital Único en Salud (EDUS) y el Sistema Centralizado de Recaudación (SICERE).[16][17] El primero almacena la información médica sensible de los pacientes que atiende la Seguridad Social, mientras que el segundo es el utilizado para el cobro de las cuotas de aseguramiento de la población.[18]
Conti Group
Conti Group es una organización criminal dedicada a realizar ataques de ransomware, sustrayendo archivos y documentos de servidores para luego exigir un rescate. Su modus operandi consiste en infectar los equipos con el malware Conti, el cual opera con hasta 32 subprocesos lógicos individuales, lo que lo hace mucho más rápido que la mayoría de los virus de su tipo.[19]
El miembro más antiguo es conocido por los alias Stern o Demon y actúa como director ejecutivo. Otro miembro conocido como Mango actúa como gerente general y se comunica con frecuencia con Stern. Mango le dijo a Stern en un mensaje que había 62 personas en el equipo principal. Los números de personas involucradas fluctúan, alcanzando hasta 100. Debido a la constante rotación de miembros el grupo recluta nuevos integrantes mediante sitios de trabajo legítimos y de piratas informáticos.[20]
Los programadores ordinarios ganan entre $1500 a $2000 por mes y los miembros que negocian pagos de rescate pueden tomar una parte de las ganancias. En abril de 2021 un miembro de Conti Group afirmó tener un periodista anónimo en sus filas que tomó una parte del 5 % de los pagos de ransomware al presionar a las víctimas para que pagaran.[20]
Durante la invasión rusa de Ucrania en 2022 Conti Group anunció su apoyo a Rusia y amenazó con implementar "medidas de represalia" si se lanzaban ciberataques contra el país.[21][22][20] Como resultado, una persona anónima filtró aproximadamente 60 000 mensajes de registros de chat internos junto con el código fuente y otros archivos utilizados por el grupo.[23][24]
Las opiniones expresadas en las filtraciones incluyen el apoyo a Vladímir Putin, Vladimir Zhirinovsky y el antisemitismo (incluso hacia Volodímir Zelenski). Un miembro conocido como Patrick repitió varias afirmaciones falsas hechas por Putin sobre Ucrania. Patrick vive en Australia y puede ser ciudadano ruso. También se encontraron mensajes que contenían homofobia, misoginia y referencias al abuso infantil.[25]
Conti ha sido responsable de cientos de incidentes de ransomware desde 2020. El FBI estima que desde enero de 2022 hubo más de 1000 víctimas de ataques asociados con el ransomware Conti con pagos de las víctimas superiores a $150 000 000, lo que convierte a la cepa Conti en la variedad de ransomware más dañina jamás documentada.[26]
Días después del ofrecimiento de recompensas por parte del FBI, Conti anunció que iniciaría un proceso de cierre de operaciones.[27] Algunos de los miembros de Conti migraron a organizaciones más pequeñas como Hive, HelloKitty, AvosLocker, BlackCat y BlackByteo; otros fundaron algunas propias.[28]
Hive Ransomware Group
Hive Ransomware Group es una organización criminal conocida por su ensañamiento contra las organizaciones o instituciones de salud pública, en particular hospitales y clínicas.[29] Apareció en junio de 2021[30] y de acuerdo con el Buró Federal de Investigaciones (FBI) funciona como un ransomware basado en afiliados, emplea una amplia variedad de tácticas, técnicas y procedimientos (TTP), lo que crea desafíos importantes para la defensa y la mitigación. Hive utiliza múltiples mecanismos para comprometer las redes comerciales, incluidos los correos electrónicos de phishing con archivos adjuntos maliciosos para obtener acceso y el Protocolo de Escritorio Remoto (RDP en Inglés) para moverse una vez en la red.[31]
De acuerdo con un reporte de Cisco los criminales de Hive han evidenciado una seguridad operativa baja al revelar información sobre su proceso de encriptación y otros detalles operativos. El reporte también indica que Hive emplea todos y cada uno de los medios necesarios para convencer a sus víctimas de que paguen, incluida la oferta de sobornos a los negociadores de las víctimas una vez que se realiza el pago del rescate.[32]
En agosto de 2021 ZDNet publicó que Hive había atacado al menos 28 organizaciones de salud en los Estados Unidos, afectando clínicas y hospitales a lo largo de Ohio y Virginia del Oeste. Entre las víctimas se encontraba el Memorial Healthcare System, quien se vio forzado a que sus hospitales usaran expedientes de papel, cancelar procedimientos y derivar pacientes a otros centros no vulnerados. La organización terminó pagando el rescate para recuperar el acceso a sus sistemas.[33]
En diciembre de 2021 Hive reveló haber atacado 355 compañías a lo largo de seis meses, la gran mayoría en los Estados Unidos. De esas al menos 104 terminaron pagando el rescate por recuperar sus sistemas.[34]
En febrero de 2022 cuatro investigadores de la Universidad de Kookmin en Corea del Sur descubrieron una vulnerabilidad en el algoritmo de cifrado del ransomware de Hive que permitía obtener la clave maestra y recuperar la información secuestrada.[35]
El sitio especializado TechTarget afirmó que Hive Ransomware Group se comunica en ruso, pero que no hay información sobre la localización de sus operaciones.[34]
Bleeping Computer LLC reportó que algunos de los hackers de Conti migraron a organizaciones como Hive, sin embargo el grupo ha rechazado tener vinculación con Conti pese a que una vez iniciado el proceso de cierre de operaciones y sus hackers llegaron a ese otro grupo criminal, la organización empezó la táctica de publicar los datos filtrados en la red profunda, tal y como lo hacía Conti.[16]
La experta Yelisey Boguslavskiy de AdvIntel identificó y confirmó con un alto nivel de certeza que Conti estuvo trabajando con Hive durante más de medio año, al menos desde noviembre de 2021. Según su información, Hive utilizaba activamente los accesos de ataque iniciales proporcionados por Conti.[16]
A diferencia de Conti Group, Hive no está asociado con apoyo directo a la invasión rusa de Ucrania, a pesar de que el pago de los rescates a Hive probablemente sea recibido por las mismas personas dentro de Conti que reclamaron la alineación colectiva del grupo con el gobierno ruso.[16]
También en mayo de 2022 Hive atacó a la Comunidad de Navarra, España, forzando a un centenar de instituciones a volver a la era del papel mientras los sistemas eran recuperados.[36][37] Ese mismo mes Hive también atacó al Banco Central de Zambia, sin embargo, la entidad rechazó pagar el rescate afirmando que tenía los medios para recuperar sus sistemas, aunque ingresó al chat de los extorsionadores y suministró el enlace a una "fotopolla"[38][39][40] con el mensaje:
Chupad esta polla y dejad de bloquear redes bancarias pensando que monetizareis algo, aprended a monetizar.Banco Central de Zambia.
