Descubren virus que ataca organizaciones del sector energético

México.- Recientemente ha aparecido un nuevo virus que está programado para infectar empresas del sector industrial y en particular de energía, es el troyano Havex.

Desde el año pasado, el equipo de F-Secure un conocido antivirus desarrollado por Datafellows, se encuentra realizando una estrecha vigilancia sobre la familia del malware Havex, diseñado para atacar a empresas industriales, sobre todo del sector energético.

El virus está programado para infectar los sistemas de control industrial (ICS) de SCADA (supervisión, control y adquisición de datos), con capacidad de desactivar presas hidroeléctricas, sobrecargar las centrales nucleares e incluso apagar la red eléctrica de un país con solo pulsar un botón.

Desde hace unos meses se descubrió que Havex tiene un interés específico en sistemas de control industrial y utiliza un innovador enfoque de caballo de troya para comprometer a las víctimas. De acuerdo con los expertos, el troyano es una herramienta de control remoto genérica (RAT, por sus siglas en inglés) que recientemente se ha utilizado para llevar a cabo espionaje industrial contra una serie de empresas en Europa que utilizan o desarrollan programas y maquinaria industrial.

El equipo de F-Secure analizó 88 variantes de Havex RAT utilizado para obtener acceso a datos de redes y máquinas de interés. Este análisis incluyó la investigación de 146 comandos y control (C & C) de los servidores contactados por las variantes, que a su vez participan rastreando alrededor de 1.500 direcciones IP en un intento de identificar a las víctimas.

Además de los métodos de infección tradicionales como los exploits (pieza de software utilizada para aprovechar una vulnerabilidad de seguridad de un sistema y conseguir un comportamiento no deseado del mismo) y correos electrónicos de spam, los ciberdelincuentes también utilizan un nuevo método eficaz para difundir Havex RAT: hackean los sitios web de compañías de software y buscan aplicaciones legales vulnerables en las que instalan el troyano.

Durante la instalación, la configuración del software corrupto suelta un archivo denominado ?mbcheck.dll', que es en realidad RAT, y que los atacantes utilizan como "puerta trasera". Según los expertos en seguridad, los atacantes usan el servidor de control para el troyano (C&C) que da instrucciones a los ordenadores infectados de que descarguen y ejecuten otros componentes del software infectado.

F-Secure consiguió localizar algunos de los sistemas infectados y también identificó algunas organizaciones afectadas, las cuales estarían asociadas de alguna manera con el desarrollo o la utilización de aplicaciones industriales o máquinas.

La mayoría de las empresas que fueron víctimas de los ataques se encuentran en Europa, aunque también existiría al menos una compañía ubicada en California. 

De las organizaciones con sede en Europa, dos corresponden a importantes instituciones educativas de Francia, las cuales son conocidas efectuar investigación relacionada con la tecnología. También se identificaron dos empresas alemanas del sector industrial, una compañía francesa fabricante de maquinaria y otra empresa rusa que se especializa en ingeniería estructural.