Los hackers chinos utilizaron armas cibernéticas de la NSA durante años

Una nueva investigación sugiere que una herramienta de piratería desarrollada previamente por la Agencia de Seguridad Nacional fue robada hace años por un prolífico grupo cibernético chino y posteriormente fue utilizada contra una variedad de objetivos estadounidenses.

Los investigadores de la empresa de seguridad israelí Check Point Research dicen que han encontrado evidencia que APT 31, un grupo de piratería patrocinado por el estado de China, de alguna manera extrajo el código de una herramienta de la NSA en 2014, luego lo cooptó y lo adaptó para sus propias operaciones de piratería.

Los investigadores han apodado la herramienta «Jian». Parecería que “Jian” ayudó a los piratas informáticos a escalar privilegios, es decir, a avanzar más dentro de la red o sistema comprometido de la víctima. Check Point dice que APT 31 lo usó durante un período de al menos tres años, desde 2014 hasta 2017, cuando Microsoft parcheó la vulnerabilidad asociada con él. Se sospecha que el gigante de la defensa estadounidense Lockheed Martin es uno de los objetivos de tales campañas.

Se cree que las armas cibernéticas de la NSA han sido robadas por grupos de piratería extranjeros varias veces antes. El incidente más infame ocurrió en 2017, cuando algunas de las herramientas cibernéticas más sorprendentes de la agencia fueron derramado por todo internet por un grupo que se hace llamar los «Corredores en la sombra». Los misteriosos «Brokers» de alguna manera lograron hacerse con las herramientas utilizadas por la unidad de Operaciones de Acceso a Medida (también llamada el «Grupo de Ecuación»), la sofisticada célula de piratas informáticos de la agencia responsable del desarrollo de armas cibernéticas altamente avanzadas.

Los investigadores de Check Point afirman que «Jian» también es un producto del Equation Group, pero dicen que tienen «pruebas sólidas» de que la herramienta en realidad fue robada antes a la filtración de «Shadow Brokers». Como explicación, los investigadores ofrecen la idea de que China podría haber podido cooptar las herramientas de la NSA si hubieran descubierto a la agencia estadounidense pirateándolas. O, si habían estado monitoreando otra máquina que la NSA también estaba tratando de piratear. Los investigadores escriben:

Habiendo salido con muestras de APT31 a 3 años antes de las de Shadow Broker [leak]… nuestra estimación es que estas muestras de explotación de Equation Group podrían haber sido adquiridas por la APT china de una de estas formas:

• Capturado durante una operación de red de Equation Group en un objetivo chino.
• Capturado durante una operación de Equation Group en una red de terceros que también fue monitoreada por la APT china.
• Capturado por la APT china durante un ataque a la infraestructura de Equation Group.

El presunto grupo de hackers detrás de «Jian», APT 31, es conocido por especializarse en el robo de propiedad intelectual (el grupo también se conoce con apodos coloridos como «Zirconium» y «Judgment Panda»). FireEye los describe por tener una amplia gama de objetivos, incluidos «gobierno, organización financiera internacional y organizaciones aeroespaciales y de defensa» y «alta tecnología, construcción e ingeniería, telecomunicaciones, medios de comunicación y seguros». El grupo también previamente vinculado a los ataques a las campañas presidenciales de Estados Unidos, incluida la de Joe Biden.