El 23 de diciembre de 2015, en pleno invierno ucraniano, miles de hogares se quedaron de repente sin electricidad. Los operadores de varias compañías eléctricas observaron algo que les hizo achicar los ojos: los cursores de sus ordenadores comenzaron a moverse solos. Alguien estaba tomando remotamente el control de los sistemas y abriendo interruptores en las subestaciones eléctricas. Minutos después, unas 230.000 personas se habían quedado sin suministro eléctrico. Algunos el 28 de abril de 2025, cuando se produjo el gran apagón en España, nos acordamos de esto.
No había habido un bombardeo. No habían explotado centrales eléctricas ni líneas de alta tensión. El ataque había llegado a través de Internet.
Detrás estaba Sandworm, uno de los grupos de ciberamenazas más peligrosos del mundo y probablemente uno de los mejores ejemplos de cómo el ciberespacio se ha convertido en un escenario más de los conflictos entre Estados.
¿Quién es Sandworm?
Sandworm es el nombre utilizado por la comunidad de ciberseguridad para identificar a un grupo vinculado con la Unidad 74455 del GRU, el servicio de inteligencia militar ruso. También ha sido denominado con los nicknames; APT44, TeleBots, Voodoo Bear, BlackEnergy Group o Iron Viking, entre otros. A diferencia de una organización de ransomware, el objetivo principal de Sandworm no parece ser ganar dinero. Su misión es mucho más amplia.
Las autoridades occidentales atribuyen a esta unidad operaciones de espionaje, sabotaje y destrucción de sistemas contra objetivos considerados estratégicos para Rusia, especialmente gobiernos, infraestructuras críticas y organizaciones relacionadas con Ucrania.
Sandworm representa, por tanto, algo diferente a los grupos que hemos visto anteriormente en esta serie. Si Evil Corp es cibercrimen organizado y Lazarus convierte el hacking en una fuente de financiación estatal, Sandworm utiliza el ciberataque como un arma militar.
BlackEnergy: El día que los hackers apagaron la luz
El ataque de 2015 contra la red eléctrica ucraniana no empezó pulsando un interruptor. Había comenzado meses antes. Los atacantes enviaron correos de spear phishing dirigidos a empleados y administradores de sistemas de varias empresas energéticas. Tras conseguir acceso, utilizaron malware como BlackEnergy para robar credenciales y avanzar por las redes corporativas. Su objetivo final eran los sistemas SCADA que controlaban las instalaciones eléctricas.
Cuando llegó el momento, los atacantes tomaron remotamente el control de decenas de subestaciones y comenzaron a abrir interruptores. Después desplegaron KillDisk, un malware diseñado para destruir archivos y dejar inutilizados algunos sistemas. Incluso atacaron los centros de atención telefónica para dificultar que los clientes pudieran informar de los cortes.
Los técnicos ucranianos tuvieron que desplazarse físicamente hasta determinadas instalaciones para restaurar manualmente el suministro.
Era una demostración inquietante. Un atacante situado a miles de kilómetros había conseguido producir un efecto físico en el mundo real.
Industroyer: malware diseñado para atacar una red eléctrica
Un año después ocurrió de nuevo. En diciembre de 2016, aproximadamente una quinta parte de Kyiv sufrió un corte eléctrico durante alrededor de una hora. Pero esta vez apareció algo aún más preocupante: un malware bautizado como Industroyer, también conocido como CrashOverride.
Industroyer no era malware convencional adaptado apresuradamente a un entorno industrial.
Había sido diseñado específicamente para comunicarse con protocolos utilizados en infraestructuras eléctricas y manipular dispositivos como interruptores y protecciones de subestaciones. La importancia del ataque trascendía Ucrania. Demostraba que un Estado estaba desarrollando software específicamente concebido para alterar procesos industriales. Ya no hablamos simplemente de robar información. Hablamos de modificar el funcionamiento de infraestructuras físicas mediante código.
NotPetya: El ataque contra Ucrania que paralizó empresas de todo el mundo
Pero la operación de Sandworm que probablemente tuvo mayores consecuencias económicas llegó en junio de 2017. Un malware comenzó a propagarse inicialmente entre empresas ucranianas. Parecía ransomware. Cifraba los equipos y mostraba una nota solicitando un rescate.
Pero había un problema: prácticamente no existía una forma realista de recuperar la información pagando. El objetivo no era cobrar. Era destruir.
El malware, bautizado como NotPetya, utilizó mecanismos de propagación extremadamente agresivos y escapó rápidamente de las redes ucranianas.
En cuestión de horas estaba infectando empresas de todo el planeta. Entre las víctimas estuvieron compañías internacionales de logística, farmacéuticas, industrias, hospitales y multinacionales con operaciones en decenas de países. El Departamento de Justicia estadounidense describió NotPetya como uno de los ataques informáticos más destructivos atribuidos hasta entonces a un único grupo y señaló pérdidas cercanas a los 1.000 millones de dólares solo entre varias de las víctimas recogidas en su acusación.
Las estimaciones globales acabarían situando los daños en varios miles de millones. Sandworm había demostrado otro principio fundamental del ciberespacio: Un arma digital no siempre respeta las fronteras de su objetivo original.
Una operación dirigida principalmente contra Ucrania terminó paralizando organizaciones que probablemente ni siquiera sabían qué era Sandworm.
Olympic Destroyer: Los Juegos Olímpicos también son un campo de batalla
En febrero de 2018, durante la ceremonia inaugural de los Juegos Olímpicos de Invierno de Pyeongchang, en Corea del Sur, comenzaron a fallar sistemas informáticos relacionados con la organización. Redes Wi-Fi dejaron de funcionar, algunos sistemas de retransmisión sufrieron problemas y la web oficial quedó temporalmente fuera de servicio. El malware utilizado fue bautizado como Olympic Destroyer.
Una de las características más interesantes de la operación fue el intento deliberado de dificultar la atribución. El código contenía elementos diseñados para hacer parecer que detrás podían encontrarse otros grupos. Estados Unidos y Reino Unido terminarían atribuyendo la operación a la misma Unidad 74455 del GRU asociada con Sandworm.
El ataque demostraba que el objetivo de este tipo de operaciones no siempre es destruir una infraestructura crítica. A veces es simplemente generar caos, humillar al adversario o enviar un mensaje político.
La ciberguerra es guerra convencional
La invasión rusa de Ucrania iniciada en febrero de 2022 terminó de borrar cualquier frontera conceptual entre operaciones militares y operaciones cibernéticas. Aproximadamente una hora antes del comienzo de la invasión, un ataque contra la red satelital KA-SAT de Viasat provocó interrupciones de comunicaciones en Ucrania y efectos colaterales en varios países europeos. Miles de terminales quedaron inutilizados y también se vieron afectados usuarios y parques eólicos en Europa central.
Durante el conflicto se han sucedido además ataques destructivos contra organismos públicos, empresas y operadores de infraestructuras.
Y Sandworm ha continuado desarrollando nuevas formas de atacar sistemas industriales.
En 2022, Mandiant investigó otra operación contra una infraestructura eléctrica ucraniana en la que Sandworm utilizó directamente capacidades presentes en el entorno operacional para manipular dispositivos y provocar un corte eléctrico.
El ataque coincidió además con una campaña de ataques con misiles contra infraestructuras críticas ucranianas. Es difícil encontrar una demostración más clara de lo que significa guerra híbrida. Misiles y malware atacando la misma infraestructura desde dominios diferentes.
No hace falta ser Ucrania para convertirse en víctima
Puede resultar tentador pensar que Sandworm solo representa una amenaza para gobiernos o países implicados directamente en conflictos geopolíticos. La realidad es más incómoda. NotPetya demostró que organizaciones aparentemente alejadas del objetivo principal pueden convertirse en víctimas por tener proveedores, filiales, clientes o sistemas conectados con organizaciones atacadas.
Y las campañas atribuidas al GRU también han alcanzado gobiernos, organizaciones internacionales, medios de comunicación, empresas tecnológicas y dispositivos de red en numerosos países.
En el mundo hiperconectado actual, formar parte de la cadena de suministro puede ser suficiente para quedar dentro del radio de explosión de un conflicto digital.
Cómo protegerse frente a amenazas como Sandworm
Defenderse de un actor respaldado por un Estado no significa que una empresa tenga que disponer de los mismos recursos que una agencia de inteligencia. Significa reducir las oportunidades que el atacante puede aprovechar.
- 1. Separa las redes IT y OT. Los sistemas industriales no deberían estar directamente accesibles desde las redes corporativas. La segmentación y el control de comunicaciones son fundamentales.
- 2. Protege los accesos remotos. VPN, firewalls, routers y dispositivos perimetrales son objetivos habituales. Deben mantenerse actualizados, monitorizados y protegidos mediante autenticación fuerte.
- 3. Controla las cuentas privilegiadas. Comprometer una cuenta administrativa puede permitir que un atacante transforme una intrusión localizada en un incidente destructivo.
- 4. Mantén copias de seguridad realmente aisladas. Un backup conectado permanentemente al mismo entorno puede ser destruido junto al resto de sistemas.
- 5. Monitoriza comportamientos, no solamente malware. Los actores avanzados pueden utilizar PowerShell, herramientas administrativas o protocolos legítimos para ejecutar sus operaciones sin desplegar malware fácilmente reconocible.
- 6. Vigila tu cadena de suministro. Proveedores tecnológicos, actualizaciones de software y conexiones de terceros pueden convertirse en vías indirectas de entrada.
Cuando un teclado se convierte en un arma
Durante siglos, sabotear una infraestructura requería introducir físicamente a alguien en territorio enemigo. Había que cruzar una frontera, colocar un explosivo o infiltrarse en una instalación.
Sandworm ha demostrado que hoy algunas de esas operaciones pueden ejecutarse desde un edificio situado a miles de kilómetros. Puede apagarse una subestación. Puede destruirse la red informática de una multinacional. Puede bloquearse una infraestructura. Y puede hacerse coincidir todo ello con una operación militar convencional.
Por eso Sandworm representa probablemente una de las transformaciones más importantes de la seguridad internacional moderna. El ciberespacio ya no es únicamente un lugar donde se roba información o dinero. También es un campo de batalla. Y en ese campo de batalla, algunas de las armas más peligrosas no hacen ruido hasta que la pantalla se apaga.
Las amenazas avanzadas no afectan únicamente a gobiernos. Una vulnerabilidad, un proveedor comprometido o una mala segmentación puede convertir cualquier empresa en daño colateral. En GrayHats ayudamos a las organizaciones a prevenir, detectar y responder ante ciberataques antes de que afecten a su negocio.
En GrayHats ayudamos a las organizaciones a crear una estrategia de ciberseguridad acorde las necesidades y objetivos de las empresas.
Javier Jiménez.
Director General y CISO en GrayHats.
© Grayhats | Blog