Crash Override, el malware que puede dejar sin electricidad a ciudades enteras

En diciembre de 2016, la red eléctrica de Ucrania experimentó una caída que, entre otras cosas, dejó sin luz durante una hora a su capital, Kiev. Todo parecía una avería convencional, pero en realidad había sido un ciberataque, con el que los atacantes consiguieron apagar la quinta parte de la potencia eléctrica generada en Kiev. Meses después, dos firmas de seguridad, ESET y Dragos, han desvelado la existencia de un malware diseñado para dañar infraestructuras esenciales, aunque las autoridades ucranianas no han confirmado que sea el que atacó las redes del país en diciembre. Dragos sí lo ha hecho. Se trata de Crash Override, también conocido como Industroyer, y detrás de su creación podría estar un país.

Tal como afirma Cnet, Industroyer se centra en atacar los interruptores, y es capaz de hacerse con el control de sistemas eléctricos a distancia, para lo que utiliza los protocolos de comunicación de la infraestructura de las fuentes de alimentación, los controles del transporte y los sistemas de gas y agua de todo el mundo. Se puede detectar si un servicio público que cuenta con sistemas de monitorización de red detecta en ella tráfico anormal, o señales que indiquen que el malware está buscando la ubicación de subestaciones o enviando mensajes a interruptores.

Según Reuters, este malware podría sufrir modificaciones con facilidad, con el objetivo de conseguir que dañe a infraestructuras críticas de todo el planeta. Tanto ESET como Dragon han enviado alertas sobre él a gobiernos y operadores de infraestructuras de varios países para ayudarles a defenderse de esta amenaza. Por ahora, el Departamento de Seguridad Nacional de Estados Unidos ha confirmado que está investigando el malware, aunque todavía no ha encontrado indicios de que haya afectado a infraestructuras críticas en su territorio.

Según ha comentado el investigador de ESET Robert Lipovsky en una entrevista, «este malware es realmente fácil de reprogramar y utilizar contra otros objetivos. Es ciertamente alarmante. Podría causar daños a gran escala a sistemas de infraestructuras vitales«. El Departamento de Seguridad Nacional ha corroborado esta advertencia sobre Crash Override.

Según ha comentado la agencia en un aviso en su web, «las tácticas, técnicas y procedimientos descritos como parte del malware Crash Override podrían modificarse para convertir en objetivo a las redes de información y sistemas críticos de Estados Unidos«. En este aviso se han publicado unas tres docenas de indicadores que ayudan a comprobar si un sistema ha quedado comprometido por Crash Override, y ha pedido a las empresas que se pongan en contacto con la agencia si sospechan que sus sistemas están afectados por este malware.

Por su parte, el fundador de Dragos, Robert M Lee, asegura que el malware es capaz de atacar sistemas de producción de energía de Europa, y podría utilizarse contra Estados Unidos «con unos pequeños cambios«. Crash Override puede causar apagones que duren incluso varios días en parte de la red eléctrica de un país, pero según Lee no es lo bastante potente como para desactivar toda la red de un país. Eso sí, según Lipovsky, con las modificaciones apropiadas, podría atacar a otros tipos de infraestructura, como proveedores de transporte local, agua o gas.

Crash Override no es el primer malware capaz de atacar procesos industriales. El primero, descubierto en 2010, fue Stuxnet, y muchos expertos de seguridad creen que Estados Unidos e Israel lo utilizaron para atacar al programa nuclear de Irán.