Aeropuertos y centrales nucleares, ¿áreas de criptominado?

Ir a la mina ya no es lo que era... En el contexto digital, claro, y enfocado a la obtención de criptomonedas. Unas veces de forma lícita, a través de medios y recursos propios, y otras no tanto, aprovechando los recursos de otros, con instalación de malware en los equipos de las víctimas para que utilicen sus recursos, o porque quien lo hace campa a sus anchas aprovechando su estatus y los recursos que gestiona (que no le pertenecen).

En noviembre del pasado año las autoridades italianas descubrían en el aeropuerto de Lamezia Terme, gracias a la alerta de los técnicos de la empresa proveedora de los servicios informáticos, Sacal (un tercero), una campaña de minado de criptomonedas que afectaba a los sistemas informáticos del aeropuerto.

La investigación de la Policía de Reggio-Calabria demostró que un técnico de 41 años, administrador de los sistemas informáticos del aeropuerto, utilizaba las infraestructuras de éste para, mediante un malware instalado en estos servicios, realizar un minado de criptomonedas, en concreto de Ethereum.

Dado los costes que este proceso genera, tanto en el valor de los equipos necesarios para hacerlo, como el de la energía eléctrica consumida en el proceso, el administrador único de estos sistemas consideró, dado su puesto, que podía realizarlo sin ser detectado.

Si grave es que los recursos de los sistemas que controlan los aeropuertos se vean mermados o, peor aún, bloqueados por esta acción, más lo es, si cabe, si lo que se utiliza son las infraestructuras de una central nuclear.

Otro caso fue el ocurrido en una planta nuclear en Ucrania, en concreto en la South Ukraine Nuclear Power Plant, localizada cerca de la ciudad de Yuzhnoukrainsk, al sur del país, en agosto de 2019. Si bien, en esta ocasión no se utilizaron los recursos informáticos de la central, sino que varios empleados introdujeron en el recinto sus propios ordenadores para ahorrarse la abultada factura eléctrica del proceso de minado de criptodivisas.

Estos empleados conectaron además sus equipos personales a la red interna de la propia central nuclear, saltándose todas las protecciones de la infraestructura y exponiendo la seguridad de la entidad a los riesgos de sus propios equipos domésticos.

CRYPTOMINING

Para la obtención de criptomonedas (ciberdivisas) se siguen un conjunto de procesos cuyo objetivo es validar y registrar transacciones en una cadena de bloques (blockchain), a través del uso del hardware apropiado (máquinas, tarjetas gráficas en el caso de Ethereum) y gran consumo de recursos (energía, principalmente).

Casi siempre, obtener estas monedas, su valor, no justifica el coste invertido en ello (si se hace desde casa) por lo que la picaresca y la delincuencia entran en juego. Bien a través un malware que, unido a la creación de una botnet, permite infectar el número de máquinas en internet necesarias para este objetivo, convirtiéndola en una red zombi que trabaja para obtener estas monedas. Bien a través de una infraestructura que esté a disposición del ciberdelincuente, como son los dos casos antes comentados.

Si analizamos los incentivos para el uso de estas criptomonedas, principalmente su alto valor (y volatilidad) y que reducen costes y tiempos en las transacciones en las que intervienen (ya que no hay intermediarios), entenderemos que puedan ser muy atractivas y, por ende, mover a quien no debe a obtenerlas si tiene la oportunidad.

EL PUNTO DE VISTA DE LEET SECURITY

Desde LEET Security, como calificadores de la ciberseguridad tanto de empresas como de infraestructuras críticas, somos muy conscientes de lo que representan estas acciones y ponemos énfasis en revisar controles específicos que eliminen estos riesgos.

Dado que se nos presenta el eterno problema de quién “controla al controlador”, comprobamos que las entidades antes mencionadas tengan en cuenta, entre otras, las siguientes acciones:

• Se ha de poner énfasis en la segregación de funciones, dentro de equipos bien dimensionados y la rotación de los puestos más sensibles.

• Confianza, como valor agregado al proceso de selección del personal adecuado.

• Formación y concienciación, como elementos fundamentales para que el personal sea consciente de sus funciones y de las responsabilidades que éstas conllevan.

• Implementar una política de acceso a sólo lo que sea necesario conocer.

• Ponerenmarchaunbuensistemadecontrolde accesos basado en doble/multi factor de autenticación.

• Auditorías periódicas y evaluaciones de seguridad constantes para disponer de los datos de situación más actualizados.

Y, unido a lo anterior, desarrollar e implementar un buen proceso de gestión de incidencias cuyas evidencias queden fuera del control y manipulación de los administradores.

Pongamos todos los medios para evitar este problema o, como decía Benjamín Franklin:

“Gobierna tu negocio, o tu negocio te gobernará a ti.”

Un artículo de Rogelio Saavedra

All you need is LEET!

Recibe nuestras notificaciones desde este enlace