Iniciamos el Módulo 7 de C1b3rWall Academy 2021/2022 “Gestión de incidentes. Buenas prácticas en cibercrisis: Especial referencia Ransomware” con una conferencia de Alberto Sánchez del Monte, responsable de operaciones en la Oficina de Coordinación de Ciberseguridad. Su objetivo es analizar la importancia de los ciberataques a servicios esenciales e infraestructuras críticas, y de forma específica aquellos de tipología ransomware basados en el cifrado de la información.
La Oficina de Coordinación de Ciberseguridad (OCC) es un organismo enmarcado en la Dirección General de Coordinación y Estudios en la Secretaría de Estado de Seguridad. Lo forman integrantes de la Policía Nacional y de la Guardia Civil. Su sede está en el Centro Tecnológico de Ciberseguridad (El Pardo).
Ransomware y frameworks
El ransomware, es un tipo de malware que impide a los usuarios acceder a su sistema o a sus archivos personales si no se paga un rescate por ellos.
Para explicar cada una de las fases de un ciberataque existen varios frameworks. Algunos modelos más famosos son el CyberkillChain, que se compone de siete fases y el modelo Diamante, en el que se representan cuatro variables diferentes. Sin embargo, el que más utilizan en el OCC es el modelo MITRE ATT&ACK.
Al analizar el rastro que se deja en un ciberataque se puede atribuir la autoría a cierto grupo por su modus operandi.
Servicio esencial
Aquel servicio que se presta a través de redes de información y que es esencial para el funcionamiento de necesidades sociales básicas. Esto es, centrales hidroeléctricas, plantas potabilizadoras de agua, hospitales, entre otros.
Directiva NIS
En Europa somos más conscientes de este tipo de ataques y en 2016 acogimos la directiva NIS que conlleva una obligación de trasposición a la legislación nacional de cada país miembro y recoge tres puntos principales:
- Identificación de operadores de servicios esenciales de cada país (OSE)
- Supervisión de obligaciones (esquema de seguridad).
- Comunicación de incidentes.
En España utilizamos la guía nacional de notificación. Se trata de un documento muy técnico y de taxonomía homogénea europea. Analiza el nivel de impacto y el nivel de peligrosidad y es obligatorio hacer una notificación inicial, intermedia y final, así cómo hacerlo cuando se superan ciertos umbrales.
El sector más atacado ha sido el financiero ya que manejan enormes sumas de dinero y son muy tentadores para los ciber delincuentes. En el año 2020 aumentaron de manera drástica los ataques al sector de salud.
Zonas de origen y destino de los ataques
Se puede observar que desde China proceden un gran número de ataques y que se centran en servicios financieros. En cuanto a Rusia, de ahí proceden una gran cantidad de IPs, también con objetivo el sector financiero. Irán, por su parte, lleva a cabo ataques mucho más puntuales y diversificados.
Suele predominar el modelo ransomware as a service, y depende de la consultora suelen tener diferentes nombres, pero son los mismos grupos.
Estos grupos suelen hacer comunicados con fuertes amenazas a las víctimas en caso de acudir a las autoridades. Suelen funcionar como un cártel y la cúpula de la pirámide se suele quedar con un 30-35% de las ganancias. Se encuentran generalmente en Rusia o China y son profesionales del sector IT que dan el paso hacia una forma de delincuencia sencilla para ellos.
Sin duda, es interesante todo lo que nos presenta Alberto, pero esto es solo una introducción de toda la información que nos aporta en su ponencia. Os comparto el enlace para que podáis verla.
