APT28, la unidad de ciberespionaje del GRU, ha penetrado en un astillero naval de la OTAN y en una agencia policial europea. Symantec atribuye la campaña a Swallowtail, el mismo grupo que asaltó el Comité Nacional Demócrata en 2016, y sitúa también un fabricante de motores de aviación militar entre las víctimas.
Qué ha encontrado Symantec: teclado humano en la sala de máquinas
La revelación llegó este martes en el blog del equipo Threat Hunter de Symantec. Le adelanto que los objetivos no son aleatorios: un astillero naval, un fabricante de motores de aviación militar y una agencia policial, los tres en países de la OTAN. No habrá comunicado oficial de la Alianza. En este oficio, las víctimas tardan semanas en confirmar lo que los analistas ya saben desde el primer registro de telemetría.
Dick O’Brien, analista principal de inteligencia del equipo, describió a CyberScoop lo que sus colegas vieron en el astillero: actividad de hands-on-keyboard, es decir, un operador humano tecleando en vivo sobre un equipo comprometido. Los atacantes volvieron al mismo anfitrión varias veces a lo largo de una semana para extraer material con credenciales. ‘Hands-on-keyboard significa que un humano está decidiendo el siguiente paso, no que un malware ejecute una rutina fija’, explicó O’Brien. ‘Es la confirmación de que la organización era un objetivo real, no una infección accidental’.
Esa distinción importa y no es semántica. Un phishing masivo que se cuela en cualquier red es ruido de fondo. Una semana de presencia manual en el sistema de un astillero que construye buques de guerra es otra cosa: alguien con criterio estaba eligiendo qué carpetas abrir, qué credenciales copiar y por dónde salir. La diferencia entre un escaneo automático y una semana de manos humanas dentro del sistema es la diferencia entre un ladrón que prueba pomos y un cerrajero que ya tiene la llave.
O’Brien sostiene que la campaña responde a una recolección de inteligencia más amplia contra objetivos gubernamentales y de defensa europeos, aunque reconoce que el motivo exacto no está confirmado. Su hipótesis de trabajo apunta a los países que sostienen a Ucrania. Ni Symantec ni nadie ha presentado pruebas públicas de esa conexión causal, y conviene no confundir hipótesis razonable con atribución cerrada.
Una semana de teclado humano en el sistema de un astillero vale más que cien infecciones accidentales repartidas por cien redes distintas.
Y aquí aparece España. Recorded Future, a través de su Insikt Group, ya había documentado la misma puerta trasera empleada contra objetivos de defensa y diplomáticos en Rumanía, España y Turquía. España deja de ser un actor secundario en esta campaña: figura en la lista de objetivos del mismo grupo y con la misma herramienta. Me consta que en el Centro Criptológico Nacional se sigue con lupa todo lo que lleve apellido ruso desde hace años, pero la coincidencia de backdoor es el tipo de dato que obliga a revisar registros antiguos, no solo los del mes en curso.
Cuando el mismo backdoor aparece en Bucarest, en Madrid y en Ankara, ya no hablamos de ataques aislados: hablamos de una campaña con mapa propio.
La cadena de ataque: Hookedge, ld.exe y un servidor dedicado
El instrumento principal es una puerta trasera bautizada como Hookedge. Recorded Future la identificó por primera vez en agosto y desde entonces se ha convertido en la firma de la casa. Sobre ella, Symantec observó un cargador no documentado públicamente hasta ahora: ld.exe.
El funcionamiento del cargador merece atención técnica. Descifra su payload en memoria y necesita una clave que solo se entrega en tiempo de ejecución, desde la línea de comandos. Sin el archivo cifrado y sin la clave, el contenido es irrecuperable. Symantec no lo recuperó. ‘No sabemos qué hace’, admite O’Brien. Un cargador que no se puede abrir es una caja negra con un propósito desconocido, y esa incertidumbre debería moderar cualquier conclusión triunfalista sobre el alcance del robo.
Lo que sí sorprendió a los analistas fue el cambio de higiene operativa. Recorded Future esperaba que el grupo siguiera saltando entre servicios gratuitos de terceros para camuflar su mando y control. En su lugar, movió la actividad más sensible a un servidor dedicado. Ese fue, en palabras de O’Brien, el hallazgo inesperado. Traducido al oficio: el GRU ha decidido pagar infraestructura propia para no dejar rastro en alojamientos compartidos. Es un gesto de madurez operativa y encarece la tarea de los equipos de respuesta.
Cabe recordar el historial, porque sin él no se entiende nada. APT28 opera bajo al menos cuatro nombres —Swallowtail, Fancy Bear, Forest Blizzard, STRONTIUM— y responde a la unidad 26165 del GRU. En 2016 asaltó el Comité Nacional Demócrata. En 2018 penetró en la red de la Organización para la Prohibición de las Armas Químicas en La Haya. Esta primavera, investigadores y agencias del Gobierno estadounidense anunciaron la desarticulación de una campaña de Forest Blizzard. Y el año pasado, varios gobiernos occidentales alertaron formalmente de que el grupo estaba cazando empresas que sostenían a Ucrania. Puede consultar el historial completo del grupo en la ficha de APT28 en Wikipedia.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque. Concretamente, una amenaza persistente avanzada con presencia manual, puerta trasera Hookedge y cargador en memoria, orientada a la recolección de credenciales en entornos de defensa industrial. No hay sabotaje ni ransomware; no hay destrucción de datos, hay apropiación silenciosa. En términos de contrainteligencia es la peor variante posible, porque la víctima no se entera hasta que un tercero lo publica. Lo veo así: el daño no se mide en sistemas caídos, sino en sistemas que siguen funcionando con un invitado dentro.
Agencias implicadas. En el lado atacante, la unidad 26165 del GRU, con atribución técnica cruzada de Symantec y Recorded Future. En el defensivo, los tres contratistas y la agencia policial, más los equipos de respuesta que aún no han hecho público el alcance real. En el tercer círculo está lo que de verdad me interesa: el CCN-CERT y el CNI. España aparece en la lista de objetivos documentada por Recorded Future, lo que convierte este asunto en competencia directa del centro criptológico. Tengo claro que si el CCN-CERT no ha cruzado ya sus indicadores con los de Symantec, va con retraso. Puede seguir sus alertas en la web oficial del CCN-CERT.
Nivel de clasificación estimado: secreto. El material extraído de un astillero naval y de un fabricante de motores de aviación militar tiene, por definición, protección de secreto industrial y de secreto oficial en la mayoría de los países de la OTAN. Si lo robado incluye credenciales de acceso a redes clasificadas, la estimación sube a top secret. A juzgar por la insistencia operativa —una semana entera sobre el mismo anfitrión—, el botín justificaba el riesgo de ser detectado.
Precedente: SolarWinds. En 2020 el SVR no entró por la puerta de atrás de una empresa, sino por la cadena de suministro de miles. APT28 hace lo contrario, vuelve una y otra vez a la misma máquina con manos humanas. La lección de ambos casos es idéntica: el espionaje de Estado no busca el titular, busca el dato que dentro de cinco años siga siendo útil. Ya lo advertí en El quinto elemento: el próximo 11S empezará con un clic. Añado hoy una precisión incómoda: empezará con un clic que nadie registrará como incidente.
El punto débil del análisis es evidente y conviene decirlo sin adornos. Symantec y Recorded Future coinciden en la herramienta, no en el motivo. La hipótesis de Ucrania es razonable, no está demostrada. Y el cargador sigue cerrado: sin payload recuperado, nadie puede afirmar qué se llevaron exactamente del astillero ni de la agencia policial. La atribución al GRU es sólida; el alcance del daño, no. No se equivoque conmigo: señalar la autoría rusa no exime de medir el agujero.
Queda pendiente un hito concreto. Symantec no ha publicado los indicadores de compromiso de ld.exe porque no logró recuperar su carga útil, y sin esa pieza falta el eslabón que permitiría rastrear infecciones anteriores en redes europeas. En cuanto aparezca una muestra del cargador o un dominio de mando y control nuevo, se sabrá cuántas infraestructuras han sido tocadas y desde cuándo. Hasta entonces, la regla del oficio se impone: la única forma de saber si un astillero europeo está limpio es preguntar a quien ya ha cruzado sus registros con los del vecino.
