| Sistema de explotación | Microsoft Windows |
|---|---|
| Tipo |
Malware de rootkit |
Regin es un malware sofisticado descubierto por Kaspersky Lab y Symantec , revelado ennoviembre 2014. Activa desde al menos 2008, se dice que se utiliza como plataforma de ciberespionaje contra organizaciones públicas y privadas.
Según The Intercept , sobre la base de la información proporcionada en particular por Edward Snowden , este malware fue creado por la Agencia de Seguridad Nacional (NSA) y su contraparte británica, la Sede de Comunicaciones del Gobierno (GCHQ), y se utilizó para espiar instituciones europeas. . y la empresa de telecomunicaciones Belgacom .
La 23 de noviembre de 2014, la empresa Symantec reveló la existencia de Regin que identificó por primera vez en el otoño de 2013. Indica que la plataforma se utilizó por primera vez entre 2008 y 2011, cuando se lanzó el software, que desapareció repentinamente. Una segunda versión, aún activa, reapareció en 2013.
La 24 de noviembre de 2014, la empresa Kasperky también publicó un libro blanco sobre Regin , indicando que lo había identificado por primera vez en la primavera de 2012. Informa que algunos componentes de Regin datan de 2003.
The Intercept , una revista digital estadounidense fundada por el periodista Glenn Greenwald , también publicó una extensa investigación sobre24 de noviembre de 2014sobre el malware Regin .
La 22 de de enero de, el año 2015, la empresa Kasperky publica un análisis de dos módulos de Regin : "Legspin", una puerta trasera que podría datar de 2002 y "Rayuela", una nueva herramienta utilizada para circular dentro de las redes informáticas objetivo.
Kaspersky describe a Regin como una plataforma para el ciberespionaje, que los atacantes implementan en una red informática para obtener el control total.
Su función principal sería recopilar datos, también podría tomar el control de las computadoras de destino, tomar capturas de pantalla y robar contraseñas.
Symantec y Kaspersky describen la plataforma de Regin como extremadamente modular, lo que brinda a los atacantes una gran flexibilidad, ya que pueden cargar funciones personalizadas adaptadas a los objetivos de cada operación.
Sus características modulares complicarían su detección y serían similares a otros malware como Flamer o Weevil . Se dice que su arquitectura es similar a la de Stuxnet , un gusano informático descubierto en 2010 y diseñado por la NSA en conjunto con la Unidad de Inteligencia Militar Israelí 8200 (AMAN) para atacar las centrifugadoras de enriquecimiento de uranio de Irán.
Symantec destaca que "es un programa de un nivel de complejidad raramente alcanzado" .
Regin es un malware diseñado con una característica de sigilo , para tener una firma reducida o banal y así ser difícil de detectar, clasificar o identificar:
Los componentes revelados por Kaspersky y Symantec sugieren que Regin está apuntando a los usuarios de Windows .
Symantec informa que el vector de infección varía entre los objetivos y asume que se infectaron al visitar sitios web falsificados. El malware se instalaría a través de un navegador web o aprovechando una vulnerabilidad de aplicaciones vulnerables.
Asimismo, Kaspersky especifica el final noviembre 2014que el vector de infección sigue siendo un misterio, asumiendo también que los atacantes habrían recurrido a ataques " man-in-the-middle " con el uso de una vulnerabilidad de día 0 , es decir, una vulnerabilidad informática que no ha sido publicada o no tiene parche disponible.
Symantec dice que los operadores de Regin no parecen estar interesados en una industria en particular, ya que se han observado infecciones en una amplia variedad de organizaciones, incluidas empresas privadas, entidades gubernamentales o institutos de investigación.
Kaspersky indica que las organizaciones identificadas como víctimas de Regin son operadores de telecomunicaciones , organizaciones gubernamentales, cuerpos políticos multinacionales, instituciones financieras, organizaciones de investigación e individuos involucrados en investigación y desarrollo en matemáticas o criptología avanzada. Kaspersky indica así que el criptógrafo belga Jean-Jacques Quisquater habría sido víctima de Regin en 2013.
Uno de los módulos de Regin está claramente dirigido a los operadores de telecomunicaciones, ya que permite específicamente espiar lo que están haciendo los administradores de TI en las redes móviles.
Según The Intercept , el malware es la fuente de los ataques informáticos contra Belgacom .
La 26 de noviembre, el diario Le Monde indica que según "una fuente cercana al expediente, que desea permanecer en el anonimato [...] Regin había sido encontrado dentro de las redes de varias instituciones europeas" .
La 28 de noviembre, el diario austriaco Der Standard indica que según varias fuentes anónimas, el malware Regin también fue descubierto en los sistemas informáticos del Organismo Internacional de Energía Atómica (OIEA) con sede en Viena . El diario recuerda que la NSA había espiado a esta agencia internacional, según reveló Der Spiegel enagosto 2013basado en las revelaciones de Edward Snowden .
La 28 de diciembre de 2014, el diario alemán Bild revela que Regin fue descubierto en la memoria USB de un colaborador cercano de la canciller Angela Merkel . Los servicios de seguridad informática de la Cancillería detectaron a Regin , cuando esta empleada, que había finalizado la redacción de un discurso sobre Europa en su casa y había guardado el documento en la memoria USB, luego transfirió su documento a su profesional informático después de regresar a la oficina.
Symantec dice que ha identificado a Regin principalmente en Rusia y Arabia Saudita , pero también en México , Irlanda , India , Afganistán , Irán , Bélgica , Austria y Pakistán .
Kaspersky indica por su parte haber identificado veintisiete organizaciones víctimas en catorce países: Afganistán, Argelia , Alemania , Bélgica, Brasil , Fiji , India, Indonesia , Irán, Kiribati , Malasia , Pakistán, Rusia y Siria .
Según un experto de Symantec, Regin es sin duda, en cuanto a sus características (duración de la operación, motivación, medios económicos necesarios para el desarrollo y despliegue de la infraestructura), un programa apoyado por un Estado. Por lo tanto, habría requerido un equipo "de al menos cuatro especialistas que trabajaron durante aproximadamente un año en su desarrollo" . Según este experto, esta operación habría costado "varios cientos de miles de dólares sin apuntar a objetivos potencialmente lucrativos como las instituciones financieras" . Sin embargo, en su primer informe publicado, Symantec no designa un estado responsable del desarrollo de Regin .
Kasperky Lab tampoco asigna responsabilidad a Regin , pero especifica que es probable que esta operación sea asumida por un estado, debido a su complejidad y costo.
La empresa G Data Software , que dio a conocer un análisis de parte del código de Regin el23 de octubre de 2014durante la conferencia Hack.lu , confirma el origen estatal de este programa malicioso .
Por su parte, la empresa F-Secure concluye su análisis indicando que Regin no proviene de Rusia ni de China .
The Intercept reveló que el malware Regin era parte de una operación conjunta de una década entre la Agencia de Seguridad Nacional y su contraparte del Reino Unido, la Sede de Comunicaciones del Gobierno (GCHQ). El informe de análisis de Intercept se basa en parte en información de Edward Snowden . The Intercept recuerda que el malware GCHQ brindó a los espías británicos la oportunidad de recopilar datos de Belgacom , una empresa que brindaba servicios de telecomunicaciones a varias instituciones europeas:
Un experto de la empresa holandesa de seguridad informática Fox-IT, que ayudó a Belgacom a erradicar el malware de su red en 2013, dijo que estaba "convencido" de que Regin fue creado por la NSA o el GCHQ. Por otro lado, esta empresa sugiere que los componentes de Regin desvelados hasta la fecha corresponden a los productos denominados UNITEDRAKE y STRAIGHTBIZARRE en el catálogo de la NSA ( NSA ANT catalog (en) ), cuya existencia y contenido han sido divulgados por la periódico Der Spiegel el29 de diciembre de 2013.
Kaspersky especifica que sus productos detectan módulos de la plataforma Regin con los nombres "Trojan.Win32.Regin.gen" y "Rootkit.Win32.Regin". Los productos Symantec y Norton AntiVirus detectan Regin como "Backdoor.Regin".