Sandworm
La unidad del GRU ruso que apagó la red eléctrica de Ucrania, soltó NotPetya sobre el mundo y atacó los Juegos Olímpicos de Invierno.
Quién es
Sandworm es un grupo destructivo atribuido a la Unidad 74455 del Directorio Principal del Estado Mayor ruso (GRU), activo al menos desde 2009. Otros equipos lo llaman APT44, Seashell Blizzard, Voodoo Bear, ELECTRUM, Telebots e IRON VIKING. En octubre de 2020 el Departamento de Justicia de Estados Unidos acusó a seis oficiales de la unidad.
Cómo entra
Explotando aplicaciones expuestas a internet, comprometiendo la cadena de suministro de software, aprovechando la relación de confianza con proveedores y con correos dirigidos.
Qué hace una vez dentro
Su fin es el sabotaje. Desplegó BlackEnergy, Industroyer e Industroyer2 contra la red eléctrica de Ucrania, NotPetya en 2017, Olympic Destroyer contra los Juegos Olímpicos de Invierno de 2018 y borradores como KillDisk, AcidRain y Prestige. También armó redes de equipos de red infectados con VPNFilter y Cyclops Blink.
A quién ataca
Ucrania en primer lugar, con ataques a empresas eléctricas y al gobierno en 2015 y 2016, y después a todo el mundo con NotPetya. También la campaña presidencial de Francia en 2017, la Organización para la Prohibición de las Armas Químicas en 2018 y Georgia en 2018 y 2019.
Técnicas de MITRE ATT&CK
Acceso inicial 8
Reconocimiento 9
Desarrollo de recursos 12
Ejecución 11
Sigilo 9
Comando y control 8
Acceso a credenciales 5
Recolección 5
Descubrimiento 7
Exfiltración 1
- T1041Exfiltration Over C2 Channel
Impacto 7
Fuente: MITRE ATT&CK v20, grupo G0034.
Arsenal
En verde, las que ya tienen ficha en nuestro catálogo de armamento; las demás llevan a MITRE.
Vulnerabilidades que explota
| CVE | Producto | CVSS | KEV de CISA |
|---|---|---|---|
| CVE-2014-4114 | Microsoft Windows OLE | 7.8 | Sí |
Documentadas en los avisos y reportes de la sección Fuentes.
Villanos relacionados
Fuentes
