Durante varios años, el GREAT (Global Research and Analysis Team) de Kaspersky Lab ha seguido de cerca a más de 60 actores de amenazas avanzadas responsables de ciberataques por todo el mundo. El equipo de analistas, que ha visto ataques cada vez más complejos a medida que los Estados se involucraban, confirman que han descubierto un actor de amenazas que supera todo lo conocido en términos de complejidad y sofisticación técnicas y que ha estado activo durante casi dos décadas: Equation Group.
Según los investigadores de Kaspersky Lab, es único en casi todos los aspectos de sus actividades: utiliza herramientas que son muy complicadas y caras de desarrollar, con el fin de infectar a las víctimas, recuperar datos y ocultar la actividad de una manera extraordinariamente profesional. Utliza, además, técnicas del espionaje clásico para entregar cargas maliciosas a las víctimas.
Para infectar a sus víctimas, Equation Group utiliza un potente arsenal de troyanos (incluyendo EquationLaser, EquationDrug, DoubleFantasy, TripleFantasy, Fanny o GrayFish, entre otros), capaces de infectar discos duros, reprogramando el firmware. Esta técnica, desconocida hasta la fecha, logra dos objetivos:
- Un nivel de persistencia extremo que ayuda a sobrevivir al formateo del disco y a la reinstalación del sistema operativo. Si el malware se mete en el firmware, ya está listo para "resucitar" siempre.
- La capacidad de crear una zona invisible, persistente, oculta dentro del disco duro. Se utiliza para guardar información extraída que puede ser posteriormente recuperada por los ciberatacantes. Además, en algunos casos puede ayudar al grupo a cancelar el cifrado.
Equation Group tiene la capacidad de recuperar datos de redes aisladas a través del gusano Fanny que destaca de entre todos los ataques perpetrados por este grupo. Su objetivo principal es mapear redes con "air gap", es decir, entender la topología de una red que no puede ser alcanzada y ejecutar comandos para esos sistemas aislados.
Los atacantes utilizaron métodos universales para infectar objetivos: no sólo a través de la web, sino también del mundo físico. Para ello utilizaron técnicas de interceptación de bienes físicos, reemplazándolos con versiones que contenían troyanos. Un ejemplo de ello, se produjo en una conferencia en Houston (EEUU) donde algunos participantes recibieron materiales de la conferencia con CD-ROM infectados.
Desde 2001, Equation Group ha infectado miles, o incluso, decenas de miles de víctimas en más de 30 países en todo el mundo, de los siguientes sectores: instituciones gubernamentales y diplomáticas, telecomunicaciones, aeroespacial, energía, investigación nuclear, petróleo y gas, nanotecnología, activistas islámicos y escolares, medios de comunicación, transporte, instituciones financieras y empresas que desarrollan tecnologías de cifrado.
Kaspersky Lab (16-02-2015)
