NotPetya

Lectura en audio de esta entrada.

Antecedentes

NotPetya fue el descendiente operativo de dos operaciones cibernéticas previas atribuidas a Rusia contra Ucrania: el ataque BlackEnergy del 23 de diciembre de 2015, en el que la Unidad 74455 del GRU llevó a cabo el primer apagón eléctrico inducido por medios cibernéticos documentado públicamente, comprometiendo a tres operadores regionales de distribución eléctrica ucranianos y conmutando remotamente sus subestaciones fuera de línea; y el ataque Industroyer del 17 de diciembre de 2016, en el que la misma unidad desplegó el primer malware operativo diseñado específicamente para manipular protocolos de sistemas de control industrial contra las subestaciones de Ukrenergo en Kiev. Los ataques de 2015–2016 establecieron la capacidad institucional de la Unidad 74455 para operaciones cibernéticas destructivas y su orientación operativa contra la infraestructura crítica ucraniana, pero ninguna de las dos operaciones se propagó más allá de los objetivos ucranianos inmediatos.¹

La filtración de Shadow Brokers de abril de 2017 — la divulgación pública por parte del actor no identificado de una porción sustancial del arsenal de exploits de las Tailored Access Operations de la NSA — incluyó el exploit SMBv1 EternalBlue y el implante DoublePulsar. EternalBlue explotaba una vulnerabilidad en el protocolo Server Message Block (SMB) v1 de Microsoft que permitía la ejecución remota de código contra sistemas Windows sin parchear en el mismo segmento de red que el atacante. Microsoft había parcheado la vulnerabilidad subyacente el 14 de marzo de 2017 (actualización de seguridad MS17-010), pero una población sustancial de sistemas sin parchear permanecía operativa en los meses posteriores a la publicación del parche. El brote de ransomware WannaCry de mayo de 2017 — una operación no atribuida pero ampliamente, aunque no de manera concluyente, asociada con el Lazarus Group — fue la primera armamentización de EternalBlue en una operación cibernética destructiva; NotPetya, seis semanas después, fue la segunda.²

El tercer antecedente operativo fue el ecosistema del software de contabilidad M.E.Doc en Ucrania. M.E.Doc — producido por Intellect Service LLC, con sede en Kiev — era el software dominante de contabilidad fiscal ucraniano, utilizado por aproximadamente el 80 por ciento de las empresas ucranianas para el reporte de cumplimiento ante las autoridades fiscales ucranianas. El producto M.E.Doc distribuía automáticamente actualizaciones desde la infraestructura de Intellect Service a todos los clientes instalados. La intrusión en la infraestructura de actualización del software M.E.Doc — que según investigaciones posteriores se evaluó que había comenzado aproximadamente en abril de 2017 — proporcionó a los operadores un canal de entrega a través de la cadena de suministro mediante el cual enviar una carga útil armamentizada a sustancialmente toda la población empresarial ucraniana en una sola actualización.³

La operación

El 27 de junio de 2017, aproximadamente a las 10:30 UTC, el servidor de actualización M.E.Doc de Intellect Service envió una actualización de software contaminada a su base instalada de aproximadamente varios cientos de miles de sistemas cliente ucranianos. La actualización contaminada portaba la carga útil de NotPetya — un archivo ejecutable de Windows de 380 kilobytes. Al ejecutarse, la carga útil llevaba a cabo tres categorías de acción en secuencia: movimiento lateral a través de la red local utilizando el exploit EternalBlue (contra sistemas sin parchear) y el utillaje de extracción de credenciales derivado de Mimikatz (contra sistemas parcheados con una segmentación de red débil); cifrado de la tabla maestra de archivos y del sector de arranque de cada sistema Windows alcanzable; y presentación de una interfaz de demanda de rescate solicitando aproximadamente 300 dólares en Bitcoin para el descifrado.⁴

La interfaz de demanda de rescate era el engaño operativo. NotPetya no era ransomware. La operación de cifrado de la tabla maestra de archivos que llevaba a cabo no era reversible mediante ninguna clave de descifrado del lado del operador — la generación de la clave de cifrado fue construida deliberadamente para producir claves que no podían recuperarse después de que la operación de cifrado se completara. La demanda de rescate existía únicamente para retrasar la constatación por parte de las organizaciones afectadas de que los datos eran irrecuperables y para oscurecer el carácter destructivo de la operación. El análisis técnico de la operación, publicado por Kaspersky Lab el 28 de junio de 2017 (el día siguiente al ataque) y corroborado por ESET Research y Comae Technologies en los días posteriores, estableció el carácter de wiper aproximadamente 24 horas después del brote inicial.⁵

La cadena de movimiento lateral fue el elemento operativamente consecuente. Dentro de las organizaciones ucranianas, NotPetya se propagó desde los sistemas inicialmente infectados que ejecutaban M.E.Doc a sustancialmente toda la red empresarial en cuestión de minutos. Desde las organizaciones ucranianas con redes internacionales — y específicamente desde las filiales ucranianas de corporaciones multinacionales — el malware se propagó a través de la infraestructura de VPN corporativa y de WAN entre oficinas hacia las redes globales de las organizaciones matrices. Las primeras víctimas no ucranianas importantes se detectaron en Europa Occidental aproximadamente tres horas después del brote inicial ucraniano; la propagación global se completó sustancialmente en doce horas.⁶

Víctimas documentadas y daños

Las organizaciones víctimas más extensamente documentadas y los daños reportados:

A.P. Møller–Maersk — el conglomerado naviero danés, el mayor operador de transporte marítimo en contenedores del mundo. La red de la filial ucraniana de Maersk fue el vector de infección inicial para la organización matriz. En cuestión de horas, NotPetya se había propagado a la mayoría sustancial de la infraestructura informática global de Maersk. El relato de la compañía, divulgado posteriormente en detalle por el presidente Jim Hagemann Snabe en el Foro Económico Mundial de enero de 2018 y en el libro de 2019 de Andy Greenberg, Sandworm, fue que aproximadamente 45.000 PC, 4.000 servidores y 2.500 aplicaciones fueron destruidos; la compañía estuvo fuera de línea durante aproximadamente diez días; y el daño total se reportó como aproximadamente entre 250 y 300 millones de dólares. La recuperación fue estructuralmente improbable — la infraestructura de controladores de dominio de Maersk fue sustancialmente destruida, y la recuperación se llevó a cabo sobre la base de un único controlador de dominio superviviente en la oficina de la compañía en Ghana, que había estado fuera de línea debido a un corte de energía durante el ataque.⁷

Merck & Co. — la compañía farmacéutica de los Estados Unidos. Merck reportó daños por NotPetya de aproximadamente 870 millones de dólares en presentaciones iniciales 10-K, revisados posteriormente al alza a aproximadamente 1.400 millones de dólares a lo largo de múltiples ejercicios fiscales. Las pérdidas atribuibles a NotPetya de Merck incluyen costos directos de remediación de TI, interrupción de la fabricación (particularmente en la línea de producción de la vacuna contra el VPH de la compañía), pérdida de ventas y un litigio posterior sustancial de cobertura de seguros contra ACE American Insurance Company y otras aseguradoras sobre la aplicación de la exclusión por "acción hostil o bélica" a NotPetya como un "acto de guerra". El litigio Merck v. ACE — Merck & Co., Inc. v. ACE American Insurance Co., resuelto en apelación en la División de Apelaciones de Nueva Jersey en mayo de 2023 con un fallo a favor de Merck — es la autoridad canónica de la jurisprudencia estadounidense sobre la cobertura de seguros cibernéticos de operaciones cibernéticas atribuidas a estados y la cuestión de la exclusión por guerra.⁸

FedEx (filial TNT Express). TNT Express, la firma de logística neerlandesa que FedEx había adquirido en 2016, fue sustancialmente destruida por NotPetya. La infraestructura de TI de TNT se reportó como destruida aproximadamente en un 95 por ciento; las operaciones de la compañía se vieron degradadas durante varias semanas; y los daños totales por NotPetya de FedEx se reportaron como aproximadamente 400 millones de dólares.⁹

Mondelez International — la multinacional estadounidense de confitería y alimentos. Mondelez reportó daños por NotPetya de aproximadamente 100 millones de dólares y posteriormente presentó una demanda contra su aseguradora, Zurich American, sobre la aplicación de la cláusula de exclusión por guerra. El caso Mondelez Int'l, Inc. v. Zurich Am. Ins. Co. se resolvió en 2022.¹⁰

Saint-Gobain. El fabricante multinacional francés de materiales de construcción reportó daños por NotPetya de aproximadamente 250 millones de euros.¹¹

Reckitt Benckiser, Beiersdorf, Nuance Communications, Cadbury (filial de Mondelez), DLA Piper. Cada uno reportó daños de decenas a unos pocos cientos de millones de dólares estadounidenses; el total acumulado entre todas las víctimas empresariales documentadas es la base de la estimación de aproximadamente 10 mil millones de dólares en daños económicos totales, que es la cifra canónica citada en la literatura posterior, rastreable hasta el análisis del Consejo de Asesores Económicos de los Estados Unidos publicado en 2018 y la declaración de atribución de la Casa Blanca de febrero de 2018.¹²

Instituciones centrales ucranianas. El banco central ucraniano, el Aeropuerto Internacional Boryspil de Kiev, el sistema de monitoreo de radiación de Chernóbil, el servicio postal estatal ucraniano Ukrposhta, el operador estatal de distribución eléctrica ucraniano Ukrenergo (también víctima del anterior ataque Industroyer) y sustancialmente toda la infraestructura de sistemas de información del gobierno ucraniano fueron degradados o destruidos en el brote inicial ucraniano. La operación manual de monitoreo de radiación de Chernóbil fue objeto de declaraciones contemporáneas del gobierno ucraniano que enfatizaban que los sistemas automatizados del refugio del reactor de Chernóbil habían permanecido operativos mientras los sistemas administrativos circundantes fueron destruidos.¹³

Atribución

La atribución conjunta de Five Eyes de NotPetya a la Federación Rusa, y específicamente a las fuerzas armadas rusas, se anunció el 15 de febrero de 2018 en declaraciones coordinadas de la Casa Blanca de los Estados Unidos, el National Cyber Security Centre del Reino Unido, el gobierno australiano, el gobierno canadiense y el gobierno neozelandés. La declaración de la Casa Blanca decía: "En junio de 2017, las fuerzas armadas rusas lanzaron el ciberataque más destructivo y costoso de la historia. El ataque, denominado 'NotPetya', se propagó rápidamente por todo el mundo, causando miles de millones de dólares en daños en Europa, Asia y las Américas. Fue parte del esfuerzo continuo del Kremlin por desestabilizar Ucrania y demuestra cada vez con mayor claridad la participación de Rusia en el conflicto en curso. Este fue también un ciberataque imprudente e indiscriminado que será respondido con consecuencias internacionales."¹⁴

La declaración del NCSC del Reino Unido atribuyó específicamente la operación a las fuerzas armadas rusas y evaluó "con alta confianza" que el gobierno ruso, específicamente las fuerzas armadas rusas, era responsable. La declaración del NCSC señaló que el ataque se hacía pasar por una empresa criminal pero que su propósito era la disrupción más que el lucro financiero. La atribución de Five Eyes fue la atribución pública más amplia de una operación cibernética estatal hasta ese momento en el registro público.¹⁵

La atribución institucional a la Unidad 74455 del GRU — el Centro Principal de Tecnologías Especiales del GRU, la unidad de operaciones cibernéticas destructivas — fue especificada en la acusación del Departamento de Justicia de los Estados Unidos del 19 de octubre de 2020, que nombró a seis oficiales de la Unidad 74455 como acusados por cargos que incluían conspiración para cometer fraude informático, fraude electrónico y robo de identidad agravado. La acusación especifica a NotPetya como una de las operaciones por las que los acusados nombrados son imputados.¹⁶

El Consejo Europeo, en la Decisión (PESC) 2020/1537 del Consejo del 22 de octubre de 2020, impuso sanciones específicas contra el liderazgo del Centro 18 del GRU y contra cuatro oficiales de la Unidad 74455 del GRU específicamente en relación con NotPetya y las operaciones relacionadas del período 2017–2020.¹⁷

Significado

NotPetya es la operación cibernética económicamente más destructiva de la historia, aproximadamente en un orden de magnitud por encima del siguiente caso de mayor escala públicamente atestiguado. La cifra de aproximadamente 10 mil millones de dólares en daños totales es en sí misma probablemente un límite inferior — daños sustanciales no se reportaron en las divulgaciones corporativas por razones de responsabilidad y reputación. La operación estableció varios precedentes institucionales que han moldeado sustancialmente el entorno posterior de política cibernética:

• La operación dejó claro que el compromiso de la cadena de suministro de canales de actualización de software rutinariamente confiables podría entregar cargas útiles cibernéticas estatales a una población sustancial de redes empresariales en un único envío, sin que las organizaciones objetivo tuvieran ninguna oportunidad de rechazar la entrega. Esta constatación estructuró sustancialmente la atención posterior a la seguridad de la cadena de suministro de software en los sectores gubernamental y de TI empresarial occidentales.

• La operación dejó claro que los límites de orientación geográfica asumidos por los atacantes pueden fallar catastróficamente: una operación diseñada contra objetivos ucranianos se propagó globalmente en cuestión de horas a través de las redes internacionales de filiales de multinacionales con operaciones ucranianas. La respuesta institucional — una mejor segmentación de redes empresariales contra el movimiento lateral, particularmente entre filiales operativas nacionales — ha sido una prioridad sostenida posterior a 2017 para las operaciones de TI multinacionales.

• La operación dejó claro que las operaciones cibernéticas destructivas dirigidas contra infraestructura civil nacional de un estado podían imponer daños económicos sustanciales a las corporaciones multinacionales y a las infraestructuras civiles nacionales de otros estados, sin ninguna orientación operativa contra esas víctimas secundarias. El ciclo subsiguiente de litigios de seguros (Merck v. ACE, Mondelez v. Zurich) es la elaboración institucional de las cuestiones resultantes de seguros cibernéticos y exclusión por guerra.

• La operación dejó claro que el exploit EternalBlue, una vez robado de NSA TAO y filtrado públicamente por Shadow Brokers, sería armamentizado por otros actores cibernéticos estatales y no estatales con daños de miles de millones de dólares. Las reformas posteriores del Vulnerabilities Equities Process en el poder ejecutivo de los Estados Unidos — particularmente las revisiones de la Casa Blanca de 2017 al estatuto del VEP — son la respuesta institucional al inconveniente demostrado de la capacidad cibernética ofensiva acumulada.¹⁸

Fuentes y lecturas adicionales

1. Andy Greenberg, Sandworm: A New Era of Cyberwar and the Hunt for the Kremlin's Most Dangerous Hackers (Doubleday, 2019), Capítulos 8–10 — la fuente secundaria canónica sobre las operaciones BlackEnergy e Industroyer como antecedentes institucionales de NotPetya. SANS Industrial Control Systems, Analysis of the Cyber Attack on the Ukrainian Power Grid (18 de marzo de 2016).
2. Boletín de Seguridad de Microsoft MS17-010 (14 de marzo de 2017); divulgación pública de Shadow Brokers en Steemit (14 de abril de 2017); Microsoft Security Response Center, Customer Guidance for WannaCrypt attacks (12 de mayo de 2017).
3. ESET Research, Analysis of TeleBots' cunning backdoor (4 de julio de 2017); Cisco Talos Intelligence Group, The MeDoc Connection (5 de julio de 2017) — las reconstrucciones técnicas canónicas del compromiso de la cadena de suministro de M.E.Doc.
4. Kaspersky Lab Global Research and Analysis Team, ExPetr / Petya / NotPetya is a Wiper, Not Ransomware (28 de junio de 2017); Matt Suiche (Comae Technologies), Petya 2017 is a wiper not a ransomware (28 de junio de 2017).
5. Kaspersky Lab, op. cit.; Suiche, op. cit.; ESET Research, op. cit.
6. Andy Greenberg, Sandworm, op. cit., Capítulos 14–17 — la fuente secundaria canónica sobre la propagación global y la recuperación de Maersk; Andy Greenberg, The Untold Story of NotPetya, the Most Devastating Cyberattack in History, Wired (22 de agosto de 2018).
7. Jim Hagemann Snabe (Presidente de Maersk), comentarios en el panel del Foro Económico Mundial (25 de enero de 2018); Greenberg, Sandworm, op. cit., Capítulo 14 sobre la recuperación de Maersk y la historia del controlador de dominio en Ghana; Greenberg, Wired, op. cit.
8. Merck & Co., Inc. Informes Anuales 10-K para los ejercicios fiscales 2017–2019, divulgaciones atribuibles a NotPetya; Merck & Co., Inc. v. ACE American Insurance Co., Docket No. UNN-L-2682-18, Superior Court of New Jersey, Union County, Law Division — Civil Part; decisión de la División de Apelaciones, mayo de 2023. Análisis de la cobertura en Law360, Insurance Journal y Risk Management Magazine a lo largo de 2023.
9. FedEx Corporation, Informe Anual 10-K para el ejercicio fiscal 2017 — divulgaciones atribuibles a NotPetya; reportajes posteriores en Reuters sobre los daños de TNT.
10. Mondelez International, Inc. divulgaciones 10-K; Mondelez Int'l, Inc. v. Zurich Am. Ins. Co., Tribunal de Circuito del Condado de Cook, Illinois; acuerdo reportado en la cobertura del Wall Street Journal de noviembre de 2022.
11. Compagnie de Saint-Gobain, comunicaciones financieras para H2 2017; Greenberg, Sandworm, op. cit.
12. Consejo de Asesores Económicos de los Estados Unidos, The Cost of Malicious Cyber Activity to the U.S. Economy (febrero de 2018) — la estimación canónica del Gobierno de los Estados Unidos de aproximadamente 10 mil millones de dólares en daños por NotPetya, utilizada en citas de literatura secundaria posterior; reportajes posteriores en Wired, Reuters y el Financial Times a lo largo de 2017–2020.
13. Declaraciones del gobierno ucraniano (Ministerio del Interior, Servicio Estatal para Comunicaciones Especiales y Protección de la Información) del 27–30 de junio de 2017; análisis académico posterior en Survival e Intelligence and National Security.
14. Casa Blanca, Statement from the Press Secretary (15 de febrero de 2018) — la atribución de los Estados Unidos de NotPetya a las fuerzas armadas rusas.
15. National Cyber Security Centre del Reino Unido, Russian military 'almost certainly' responsible for destructive 2017 cyber attack (15 de febrero de 2018); declaraciones de atribución paralelas de Australia, Canadá y Nueva Zelanda en la misma fecha.
16. United States v. Yuriy Sergeyevich Andrienko et al., Acusación, U.S. District Court for the Western District of Pennsylvania (15 de octubre de 2020), disponible en justice.gov. La acusación nombra a seis oficiales de la Unidad 74455 — Yuriy Andrienko, Sergey Detistov, Pavel Frolov, Anatoliy Kovalev, Artem Ochichenko y Petr Pliskin — y los imputa en relación con NotPetya y otras cuatro operaciones.
17. Decisión (PESC) 2020/1537 del Consejo (22 de octubre de 2020), disponible a través del portal de documentos legales de la UE EUR-Lex.
18. Revisiones del estatuto del Vulnerabilities Equities Process, noviembre de 2017; Eric Geller, Trump administration unveils its cyber rules of engagement, Politico (15 de noviembre de 2017); análisis académico posterior en el Yale Journal of Law and Technology y el Berkeley Journal of International Law.