Shamoon, el malware que amenaza al sector energético

Desde hace algún tiempo se repiten en los medios de comunicación noticias relacionadas con los distintos ataques de malware que han sufrido las instalaciones nucleares de Irán (el último con un interesante gusto musical). Malware como Stuxnet o Flame se han manifestado como unas potentes armas con las que espiar o sabotear y que apuntan a países como Estados Unidos o Israel como “desarrolladores” principales. Sin embargo, esta demostración de fuerza cibernética comienza a ser cada vez más patente puesto que se han detectado múltiples ataques de malware en computadoras no sólo de Irán sino en Egipto, Siria, Israel, Sudán, Líbano o Arabia Saudí y todas con un nexo común: son computadoras vinculadas al sector energético y, según la actividad de los últimos días, hay un nuevo malware dispuesto a hacer estragos en el sector: Shamoon.

Sistemas bancarios, hospitales, la señalización aérea, los sistemas de tráfico ferroviario o la distribución de energía eléctrica son algunos ejemplos de sistemas que están controlados por redes de computadores y, por tanto, forman parte de lo que muchos gobiernos denominan infraestructuras críticas y en la que están invirtiendo grandes esfuerzos (aunque llegan algo tarde) para garantizar su continuidad y preservar su buen funcionamiento en caso de cualquier tipo de ciberataque.

Viendo la actividad de ataques que se están detectando, es bastante lógica la preocupación porque según varias firmas de seguridad (Symantec o Kaspersky Labs) se ha encontrado un nuevo tipo de malware conocido como Shamoon que está causando estragos en los sistemas Windows de las instalaciones energéticas y que utiliza una imagen JPEG para ponerse a sobrescribir archivos en el disco duro del sistema infectado; concretamente, sobrescribe el registro de arranque principal (MBR) y la tabla de particiones haciendo imposible que la máquina infectada pueda arrancarse o se puedan recuperar los datos (un detalle bastante significativo que hasta ahora no se había visto). Además del destrozo de la información, Shamoon envía información relativa al número de archivos que ha destruido y la dirección IP del equipo infectado.

Según Symantec, los indicios encontrados apuntan a que Shamoon está siendo utilizado de manera dirigida y focalizada en el sector energético y, según parece, el pasado fin de semana Saudi Aramco (una compañía petrolera de Arabía Saudí) también habría sido víctima de este malware.

¿Cuál es el origen de Shamoon? Este detalle aún no se conoce y por ahora lo único que se conoce son datos relativos a la propagación, que se está centrando en Oriente Medio y habría afectado alrededor de 50 sistemas, un número que quizás es algo bajo pero no deja de ser un asunto que las compañías del sector deberán seguir muy de cerca.