Anonymous Sudan: ni anónimo ni sudanés

AXCESS · Junio 23, 2023, 04:20:01 PM

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Anónimo Sudán ha sido difícil de evitar recientemente. Los exitosos ataques de denegación de servicio distribuido (DDoS) del grupo interrumpieron el sitio web de Scandinavian Airlines (SAS) e incluso eliminaron el paquete de software Microsoft 365, incluidos Teams y Outlook.

Si bien la pandilla es supuestamente un colectivo de piratas informáticos antioccidentales pro-islámicos, los orígenes y el modus operandi del grupo apuntan fuertemente a que Anonymous Sudan es un proyecto "Hecho en Rusia" con el tipo de respaldo financiero sólido que los hacktivistas regulares rara vez pueden permitirse.

"Es probable que KillNet esté ejecutando esto para otra persona que les está pagando. Dado que todo lo que hace Anonymous Sudan parece encajar en la narrativa del Kremlin, asumimos que proviene de Rusia y es [apoyado por] alguien en el gobierno ruso, o al menos alguien en la esfera alrededor del liderazgo ruso", Mattias Wåhlén, un agente de inteligencia de amenazas y experto en Truesec declaró.

Mensaje de Anonymous Sudan sobre unirse a Killnet para un ataque
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

¿De dónde viene Anonymous Sudán?

Anonymous Sudan apareció como un canal de Telegram de habla rusa a mediados de enero de este año. La pandilla tomó el apodo de una operación de piratería de 2019 por parte del colectivo Anonymous original, cuyos miembros se distanciaron rápidamente del recién llegado.

Inicialmente, el grupo trató de capitalizar el furor que rodeaba los casos de profanación del Corán, lo que encajaría con la narrativa de los hacktivistas indignados de un país principalmente musulmán.

Sin embargo, tampoco existe un vínculo comprobable entre Anonymous Sudan y el país de Sudán, dijo a Cybernews Jeffrey Bardin, el director de inteligencia de Treadstone 71. Las publicaciones del grupo supuestamente pro-sudanés comenzaron principalmente en ruso e inglés, adoptando el árabe solo más tarde.

"Se alinean con Rusia y no atacarán ningún sitio ruso a pesar de que el Corán ha sido quemado dentro de Rusia. Atacan a cualquiera que tenga un Corán ardiendo en su país, siempre que sea Occidente o Israel. Todos los demás obtienen un pase", explicó Bardin.

Mientras tanto, Wåhlén señaló el romance instantáneo del grupo con Killnet, otro grupo DDoS pro-ruso, cuyo líder dijo abiertamente que aceptará dinero para ataques que "defiendan los intereses de la Federación Rusa".

¿Anonymous Sudan está vinculado a Killnet?

Los lazos de Killnet con Anonymous Sudan son difíciles de ignorar. Por un lado, ambos grupos apuntan a organizaciones en Occidente: Killnet con el pretexto de defender a Rusia y Anonymous Sudán para defenderse del imperialismo occidental.

A mediados de junio de este año, ambos grupos y la ahora desaparecida pandilla rusa de ransomware REvil establecieron el "Parlamento Darknet" para coordinar los ataques. Convenientemente, Sudán y Moscú están en la misma zona horaria.

"Obviamente están vinculados a este grupo ruso, Killnet. No son parte de Killnet como tal, pero probablemente alguien le haya pagado a Killnet para que haga la parte de DDoS de esto, y asumo que han encontrado a alguien para ayudar a enviar mensajes", dijo Wåhlén.

Por ejemplo, Anonymous Sudan comenzó a usar el árabe solo después de que los investigadores notaron que una pandilla que se identificaba con un país islámico conversaba principalmente en ruso. El grupo eliminó las publicaciones más antiguas para cubrir sus huellas y comenzó a publicar en árabe enseñado en la escuela, adoptando el dialecto sudanés solo más tarde.

"[Sus mensajes] comenzaron en ruso y simplemente lo cambiaron después de que Truesec escribiera un informe diciendo que era extraño que solo se comunicaran en ruso. Incluso si ahora se comunican en árabe, es obvio que todavía hay rusos detrás. Anonymous Sudan no ha dicho que los que iniciaron el canal se hayan ido o que "no fuimos nosotros". Otra cosa es que lo que dicen se ajusta mucho a la narrativa rusa", dijo Wåhlén.

¿Cómo ataca Anonymous Sudán?

El grupo emplea principalmente ataques DDoS contra "objetivos blandos" sin revelar sus técnicas, explicó Bardin. Todos los datos disponibles apuntan a que Anonymous Sudan se basa en ataques de capa cuatro, conocidos como ataques de inundación SYN en la industria.

"El cliente envía un paquete SYN, el servidor responde con un SYN ACK y el cliente responde con un ACK. [...] En un ataque de inundación SYN, el atacante envía muchos paquetes SYN pero nunca envía el paquete ACK final", dijo Bardin.

Para simplificar demasiado, los atacantes abruman el servidor de la víctima con una gran cantidad de solicitudes incompletas. Mientras el servidor está esperando para cumplir con las solicitudes, no puede responder a las consultas legítimas, lo que hace que un determinado servicio o sitio web sea lento y, en el peor de los casos, que no responda.

Es poco probable que Anonymous Sudan posea alguno de los numerosos dispositivos necesarios para lanzar un ataque DDoS a gran escala. Sin embargo, eso no es un problema, ya que hay muchos proveedores de servicios en la dark web que apuntan a quienquiera que el cliente pague por atacar. Ahí es donde Anonymous Sudan se diferencia de otros grupos hacktivistas.

El colectivo emplea ataques DDoS basados en HTTP. Si bien son mucho más eficientes que los ataques DDoS volumétricos tradicionales, también son mucho más costosos y los hacktivistas no los utilizan con frecuencia utilizando crowdfunding o recursos internos para financiar sus actividades.

"Anonymous Sudan está realizando ataques DDoS bastante costosos. Parece que tienen grandes fondos disponibles. Alguien les está pagando. Dudo seriamente que operen con donaciones de Sudán. Supongo que es alguien que está apoyando la agenda rusa. Tal vez FSB o algún oligarca. No lo sé, pero esa es mi suposición", dijo Wåhlén.

¿Quién está detrás de Anonymous Sudán?

La respuesta corta es que, aparte de las personas detrás de Anonymous Sudan, nadie lo sabe realmente. Sin embargo, dado que el colectivo Anonymous se distanció del grupo y no existe un vínculo real entre el estado de Sudán y el grupo, parece que el nombre de la pandilla sirve más como una distracción que como un indicador de sus intenciones.

El hecho de que la pandilla comenzó a publicar en ruso y en estrecha coordinación con Killnet y su líder Killmilk, apunta a cierta superposición entre los dos. No es que ninguno de los dos grupos evite las conexiones públicas, con comentarios recientes sobre el "parlamento Darknet" que sugieren una alianza entre los dos.

Un estudio reciente de la firma de seguridad cibernética CyberCX afirma que la forma en que Anonymous Sudan opera, se comunica y con quién se afilia apunta a que el grupo está vinculado con el estado ruso: el supuesto hacktivismo del grupo sirve como una conveniente cortina de humo para desbaratar las organizaciones occidentales.

O, en otras palabras,

- si parece un "gato",
- camina como "gato"
- y maúlla como un "gato",
- entonces...

probablemente sea un "gato"

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Fuente:
CyberNews
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Anonymous Sudan: ni anónimo ni sudanés

AXCESS

Junio 23, 2023, 04:20:01 PM Ultima modificación: Junio 23, 2023, 04:22:07 PM por AXCESS