Colonial Pipeline, la compañía de oleoducto más importante de Estados Unidos, se vio obligada a la interrupción sus sistemas, provocando el corte del suministro de nafta, diesel y otros productos refinados para un tramo de aproximadamente 8,850 kilómetros que va desde Texas hasta Nueva York. ESET, compañía líder en detección proactiva de amenazas, analiza el ataque del ransomware DarkSide.
Desde Colonial Pipeline confirmaron el ciberataque y afirmaron que para contener la amenaza tuvieron que desconectar algunos equipos. Según mencionaron del FBI, el responsable de este ataque es el ransomware DarkSide. Por otra parte, la compañía comunicó este lunes que continúan trabajando para restaurar de vuelta sus sistemas de manera rápida pero también segura, aunque aclara que este es un proceso que lleva tiempo. Según publicó BBC, los atacantes habrían robado más de 100 GB con información de la compañía.
El suministro de productos refinados del petróleo que realiza Colonial Pipeline a refinerías locales y otros mercados representa el 45% del combustible que se consume en la Costa Este de los Estados Unidos y a más de 50 millones de habitantes. 17 estados afectados declararon estado de emergencia luego de que Colonial Pipeline interrumpiera sus sistemas.
Si bien no se precisaron detalles acerca de cómo fue que se lograron comprometer los sistemas de Colonial Pipeline, los grupos de ransomware han estado aprovechando -entre otras vías de acceso inicial- las conexiones remotas como el RDP para acceder a los sistemas de las víctimas. “A raíz de la pandemia y el aumentó el trabajo remoto en el mundo, las empresas se vieron obligadas hacer uso de distintas herramientas para permitir que los empleados puedan conectarse a distancia a los sistemas de la compañía. Esto también fue aprovechado por los atacantes que, si bien ya abusaban las conexiones remotas como el RDP antes del aislamiento, datos de ESET demuestran que durante el 2020 los ataques al RDP crecieron 768% entre el primer y último trimestre de 2020”, menciona Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.
DarkSide es un ransomware que opera bajo el modelo de Ransomware-as-a-Service (RaaS, por sus siglas en inglés) que realiza ataques dirigidos y que suele solicitar montos elevados para el pago de los rescates. Bajo el modelo de RaaS participan básicamente quienes desarrollan la amenaza y los afiliados, que son quienes se ocupan de distribuir el ransomware. Entre estas dos partes se dividen las ganancias que obtienen por el pago del rescate.
Al igual que otros grupos de ransomware, DarkSide sustrae información de los sistemas comprometidos antes de cifrar la información y en caso de no querer negociar el pago del rescate extorsiona a sus víctimas con filtrar la información en un sitio específicamente creado para ese fin.
En febrero de este año otra infraestructura crítica en Estados Unidos sufrió una ataque: una planta potabilizadora de agua en Oldsmar, Florida. En esa oportunidad, los atacantes aparentemente lograron acceder a los sistemas a través de TeamViewer, un software utilizado para brindar soporte y acceso remoto, e intentaron envenenar el suministro de agua de la ciudad al manipular los niveles químicos de hidróxido de sodio.
Por otra parte, este no es el primer ataque a compañías del sector energético en el mundo. En 2019 la petrolera mexicana Pemex sufría un ataque a manos del ransomware Dopplepaymer, mientras que en el 2020 en Brasil otras compañías energéticas como Electrobras y Copel sufrían también un ataque de ransomware; esta última también a manos de DarkSide.