El STJ continúa investigando circunstancias que dieron origen al hackeo informático

Aún cuando se ha recuperado un altísimo porcentaje de la información de las bases de datos y servidores atacados, mediante resolución 42/2022 de fecha 14 de febrero de 2022, el Superior Tribunal de Justicia (STJ) solicitó la realización de un informe técnico al Laboratorio de Investigación y Desarrollo de Tecnología en Informática Forense (InFoLab) de la Universidad Fasta, a los fines de profundizar la delimitación de las circunstancias de ocurrencia de los hechos -iniciada por resolución 3/2022-, determinar la existencia o no de cualquier tipo de irregularidad administrativa y fijar los lineamientos de medidas de seguridad y ciberseguridad adaptadas a estas nuevas amenazas.
Hive Ransomware «es un código malicioso que implementa las funcionalidades de cifrado de la información de un equipo infectado, imposibilitando la recuperación de los datos. Los atacantes que operan tras este malware intentan luego extorsionar a las víctimas a partir de la exigencia de un pago para recuperar la información» y que «hay una organización que lo administra, con fines claramente delictivos, agregando mayor incertidumbre al ataque y, por ende, mayor complejidad al abordaje, tanto ex ante como ex post al ataque del mismo», expresaron en el informe.
Resalta que «hasta octubre de 2021 ha habido al menos 355 víctimas de Hive», entre ellas, Memorial Health System y Media Markt y detalla que «el pago del rescate exigido no siempre garantiza la recuperación de la información, constituyendo esto un doble riesgo para la víctima».
En cuanto a los ataques, expresa que «una vez que logran obtener acceso a la institución, establecen una herramienta de control remoto y luego comienzan a propagar la infección con estas herramientas a lo largo de la red de la institución».
Además, recalca que «todo esto es llevado a cabo por atacantes humanos, no por un software que se ejecuta de manera independiente o autónoma. Este es un escenario más complejo para la defensa por parte de la institución, ya que un atacante humano puede analizar la situación y adaptarse a los distintos escenarios y obstáculos con que se encuentra».
Es importante puntualizar que «al momento de ejecutar el virus, este deshabilita servicios del sistema operativo, y antivirus que puedan encontrarse presentes en la computadora donde se ejecuta. También modifica los permisos de acceso a los archivos, y evita cifrar contenido ‘poco importante’.
Es decir, el cifrado de archivos se concentra en la información que supone de mayor importancia para el usuario, e intenta lograrlo de la manera más rápida posible».
Concretamente, se detienen varios procesos y se deshabilitan muchos servicios en el sistema operativo, «la interrupción de estos servicios y procesos busca que no haya ningún bloqueo de acceso a los archivos al momento de cifrarlos, ya sea por un servicio de antivirus, servicios de seguridad y protección, o procesos que puedan estar accediendo a un archivo y retengan el acceso al mismo. En este sentido, el propio malware evita la acción de los antivirus, dejando a estos ‘fuera de combate’».
Por último, señala que «una vez terminado el proceso de cifrado de los archivos, se hace un proceso de limpieza de datos sobre el disco, de manera que no puedan realizarse tareas de recuperación de información sobre el equipo infectado. Finalmente, se copia la ‘nota de rescate’ para que el usuario pueda verla».