Venció el “plazo de negociación” y los hackers publicaron información sensible robada a Migraciones

Se venció el plazo que habían dado los hackers que vulneraron el sistema informático de la Dirección Nacional de Migraciones y los ciberdelincuentes publicaron la información robada. La publicación se hizo en el blog de Netwalker (el nombre del software malicioso con que atacaron el sistema) en la dark web, tal como anticiparon los atacantes.

La interfaz del sitio de descarga donde filtraron la información está en ruso, lo cual va en línea con la hipótesis de que los desarrolladores o las cabezas detrás de Netwalker podrían ser de esa nacionalidad. Cabe señalar de todos modos que es un tipo de ransomware que se distribuye comercialmente de manera ilícita, con lo cual puede ser adquirido por cualquier atacante o grupo de atacantes de diferentes países para realizar ciberdelitos.

Netwalker es conocido como Ransomware as a service (Raas), así se denomina el tipo de ransomware que forma parte de una cadena de distribución. El que diseña el software malicioso, lo pone a disposición de terceros para que lo puedan comprar como una herramienta a través de diferentes modelos de distribución. El desarrollador cobra por ese kit y multiplica las formas de infectar a las organizaciones.

En marzo de este año un usuario de internet que se hace llamar Bugatti “abría el juego” para que otros ciberdelincuentes se unieran al grupo como parte de un modelo de negocio RaaS, interesado en contratar personas de habla rusa.

Ahora bien, esto da cuenta del posible origen de las cabezas detrás de Netwalker, pero ¿quién lo podría haber adquirido y cómo ingresó al sistema de Migraciones? Desde la Casa Rosada ayer circulaba la sospecha de que el ataque al sistema informático podría haberse dado con ayuda interna.

Para afectar el sistema informático y secuestrar información el software malicioso Netwalker tuvo que haber recurrido, principalmente, a una de estas dos opciones: phishing o suplantación de identidad, que consiste en engañar a un usuario interno de la organización para que ingrese a un sitio en apariencia genuino pero que en realidad es fraudulento y deje sus credenciales de acceso. Con esos datos, el atacante logra obtener contraseñas que utiliza para entrar al sistema y plantar el software malicioso (malware) que cifra la información.

La otra opción es que un usuario interno de Migraciones o con acceso privilegiado a la infraestructura informática de la entidad haya sido quien plantó el malware. En este caso, entonces, el atacante no sería externo sino interno. Y ésta es una de las sospechas que crece en el seno de la Casa Rosada.

Los delincuentes encriptaron 22 carpetas con información que hace referencia a la AFI (Agencia Federal de Inteligencia), flujos migratorios, consulados y embajadas. Para este ataque utilizaron un software malicioso llamado Netwalker.

Habían pedido 4 millones de dólares de rescate para no dar a conocer públicamente los datos robados pero el Gobierno dijo desde un principio que no negociaría con los atacantes e hizo la denuncia penal por extorsión, daño informático y acceso ilegítimo.

Los datos a los que accedieron

Según una captura de pantalla que subieron los criminales a un sitio en la dark web, secuestraron 22 carpetas con diverso material. El ataque vulneró en particular al Sistema Integrado de Captura Migratoria (SICaM), el cual es utilizado en los pasos internacionales para “el control y el registro informático” de las personas, argentinas o extranjeras, que ingresan y egresan del territorio nacional.

En la denuncia judicial, que recayó en el juez Sebastián Casanello, consta que el malware había afectado los sistemas de archivos basados en MS Windows (ADAD SYSVOL y SYSTEM CENTER DPM principalmente) y los archivos de Microsoft Office (Word, Excell, etc) existentes en los puestos de trabajo y carpetas compartidas de los usuarios.

Por otra parte, desde Gobierno compartieron ayer con Infobae más detalles sobre parte del contenido afectado. A continuación, los títulos de las carpetas y los datos que se incluyen en ellas con las fechas correspondientes a los documentos mencionados:

1. ABM (9 PDF, 1 JPG y 1 BASA DATA FILE): formularios de solicitudes de altas, bajas y modificaciones (ABM) de accesos a aplicaciones para diversos usuarios de la DIM (2016).
2. AFI (2 PDF y 1 Word): memo y nota formal de la Operacional de Inteligencia sobre Terrorismo y Delitos contra el Orden Constitucional de la AFI, solicitando reseteo de claves.
3. CAJA (1 Word y 7 PFD): 5 archivos con Tickets (2015) y escaneo de libro de guardia (2015).
4. CAPACITACIÓN INTERPOL (7 PDF): formularios de inscripción de agentes de la DIM en una capacitación de Interpol (11/2016) y formularios para participar en una reunión operativa (15 al 17 de noviembre de 2016).
5. CHINOS CORRIENTES (37 PDF y 1 Word): informe sobre posible cohecho en la Delegación Corrientes/Chaco, con descripción de modus operandi, forma de pago, listado de empleados que participarían del hecho y nómina de 78 ciudadanos chinos que iniciaron radicación entre febrero/marzo del 2014. (Existe causa judicial en trámite).
6. CONSULADO DE COLOMBIA (5 PDF): escaneo de expediente del año 2016, procedente del Ministerio de Relaciones Exteriores solicitando información sobre colombianos en algunas provincias, a pedido del Cónsul General de Colombia en Argentina para evaluar la instalación de Consulados Móviles.

Nota formal del Cónsul General de Colombia en Argentina con la solicitud. Cuadro estadístico con radicaciones resueltas e iniciadas de ciudadanos colombianos en dichas provincias. (8/2016)

7. DELEGACIÓN ENTRE RIOS (14 PDF): memo remitiendo nota de la GNA y PNA solicitando datos estadísticos. Nota del Centro de Reunión de Información “Concepción del Uruguay” de la GNA, solicitando datos estadísticos de la situación migratoria de extranjeros en la provincia de Entre Ríos, en los años 2015 y 2016. (6/2016)
8. EMBAJADA DE EEUU (6 PDF y 1 Word): nota formal (expte.) del Vicecónsul Derek Wright solicitando datos de cantidad de ciudadanos estadounidenses que ingresaron al país en calidad de turistas.
9. EMBAJADA DE MEXICO (6 PDF y 1 Word): nota formal (expte.) del Encargado de Negocios, Alejandro Alba solicitando datos estadísticos de mexicanos que se encuentran viviendo en la Argentina.
10. EMBAJADA DE RUMANIA (4 PDF y 1 Word): nota formal (expte.) de la Embajadora de Rumania Carmen Podgorean solicitando datos estadísticos de ciudadanos rumanos que se establecieron en la Argentina.
11. EMBAJADA FILIPINAS (8 PDF): nota formal (expte.) de la Cónsul Ma. Carmela Teresa A. Cabreira solicitando cantidad de ciudadanos filipinos residentes en la Argentina.
12. INFORME INTERPOL FLUJOS MIGRATORIOS (7 PDF y 1 Word): nota de Interpol a la Directora de la DIM remitiendo un documento denominado “Apreciación de flujos migratorios por grandes eventos en Sudamérica”. Está el informe de Interpol escaneado (7/2015).
13. INICIATIVA INTERNACIONAL DE ACELERACION DE LOS TRAMITES DE VIAJE PARA EXTRANJEROS (6 PDF): escaneo de la Declaración Conjunta Relativa a la Cooperación entre el Ministerio de Seguridad y el Ministerio del Interior, Obras Públicas y Vivienda de la República Argentina y la Dirección de Aduanas y Protección Fronteriza de los Estados Unidos del Departamento de Seguridad Nacional de los Estados Unidos tendiente a elaborar una iniciativa internacional de aceleración de los trámites de viaje para pasajeros. GLOBAL ENTRY (8/2016).

Escaneo de dos tarjetas personales de funcionarios de la Embajada de la República Popular China en la República Argentina.

14. MEMOS internos de trabajo y procedimientos varios

Cuando se vulneró el sistema

El 27 de agosto pasado los delincuentes informáticos lograron romper los sistemas de seguridad digitales y ocasionaron una caída de los servicios, por lo que las autoridades decidieron en aquel momento suspender el tránsito de personas en las fronteras durante 4 horas para evitar errores, hasta que paulatinamente los servidores volvieron a funcionar.

El hecho ocurrió cerca de las 7:00 de aquel día, cuando la Dirección de Tecnología y Comunicaciones “recibió numerosos llamados de diversos puestos de control solicitando soporte técnico”.

“El Sistema Integral de Captura Migratoria (SICaM) que opera en los pasos internacionales se vio particularmente afectado, lo que ocasionó retrasos en el ingreso y egreso al territorio nacional”, se explicó en ese momento.