Por Luke Harding, Stiliyana Simeonova, Manisha Ganguly y Dan Sabbagh

The Guardian | Paper Trail Media | Spiegel

• Documentos filtrados por un denunciante enojado por la guerra de Ucrania
• Consultoría privada de Moscú refuerza la guerra cibernética rusa
• Las herramientas admiten operaciones de hacking y ataques a la infraestructura.
• Documentos vinculados al notorio grupo de hackers ruso Sandworm
• Programa ruso tiene como objetivo controlar internet y difundir desinformación

La discreta oficina se encuentra en los suburbios del noreste de Moscú. Un cartel dice: "Centro de negocios". Es el lugar donde Pedro el Grande una vez entrenó a su poderoso ejército. Dentro del edificio de seis pisos, una nueva generación está ayudando en las operaciones militares rusas. Sus armas son más avanzadas que las de la era de Pedro el Grande: no picas y alabardas, sino herramientas de hacking y desinformación.

Los archivos de Vulkan, que datan de 2016 a 2021, fueron filtrados por un denunciante anónimo enojado por la guerra de Rusia en Ucrania. Tales filtraciones de Moscú son extremadamente raras. Días después de la invasión en febrero del año pasado, la fuente se acercó al periódico alemán Süddeutsche Zeitung y dijo que "el GRU y el FSB se esconden detrás de Vulkan".

Posteriormente, la fuente compartió los datos y más información con la startup de investigación Paper Trail Media, con sede en Múnich. Durante varios meses, periodistas que trabajan para 11 medios de comunicación, incluidos The Guardian, Washington Post y Le Monde, han investigado los archivos en un consorcio liderado por Paper Trail Media y Der Spiegel.

Paper Trail Media media reúne a algunos de los mejores periodistas de investigación europeos. El equipo galardonado hace periodismo de impacto internacional: impreso, en línea, en podcasts y video. Sus reporteros han estado trabajando con el Consorcio Internacional de Periodistas de Investigación (ICIJ), la Red de Historias Prohibidas, el Proyecto de Informes de Corrupción y Crimen Organizado (OCCRP), así como con el Colectivo de Datos Anticorrupción. Las revelaciones desencadenan regularmente debates, investigaciones y cambios en las leyes.

Los ingenieros de software detrás de estos sistemas son empleados de NTC Vulkan. En la superficie, parece una empresa de consultoría de ciberseguridad común y corriente. Sin embargo, una filtración de archivos secretos de la compañía ha expuesto su trabajo para reforzar las capacidades de guerra cibernética de Vladimir Putin.

Miles de páginas de documentos secretos revelan cómo los ingenieros de Vulkan han trabajado para las agencias militares y de inteligencia rusas para apoyar las operaciones de hacking global, capacitar a los agentes antes de los ataques a la infraestructura nacional, difundir desinformación y controlar secciones de Internet.

El trabajo de la empresa está vinculado al Servicio de Seguridad Federal o FSB, la agencia de espionaje nacional; las Divisiones Operativas y de Inteligencia de las Fuerzas Armadas, conocidas como GOU y GRU; y la SVR, la Organización de Inteligencia Extranjera de Rusia.

Un documento vincula una herramienta de ataque cibernético Vulkan con el notorio grupo de hacking Sandworm, que según el gobierno de EE.UU. provocó dos veces apagones en Ucrania, interrumpió los Juegos Olímpicos en Corea del Sur y lanzó NotPetya, el malware económicamente más destructivo de la historia. Con el nombre en código Scan-V, rastrea Internet en busca de vulnerabilidades, que luego se almacenan para su uso en futuros ataques cibernéticos.

Otro sistema, conocido como Amezit, equivale a un modelo para vigilar y controlar Internet en las regiones bajo el mando de Rusia, y también permite la desinformación a través de perfiles falsos en las redes sociales. Un tercer sistema construido por Vulkan, Crystal-2V, es un programa de capacitación para ciberoperadores en los métodos necesarios para derribar la infraestructura ferroviaria, aérea y marítima. Un archivo que explica el software dice: "El nivel de confidencialidad de la información procesada y almacenada en el producto es 'Top Secret'".

"La gente debería saber los peligros de esto", dijo el denunciante. "Debido a los acontecimientos en Ucrania, decidí hacer pública esta información. La empresa está haciendo cosas malas y el gobierno ruso es cobarde y está equivocado. Estoy enojado por la invasión de Ucrania y las cosas terribles que están sucediendo allí. Espero que puedan usar esta información para mostrar lo que sucede detrás de puertas cerradas".

Cinco agencias de inteligencia occidentales confirmaron que los archivos de Vulkan parecen ser auténticos. La empresa y el Kremlin no respondieron a múltiples solicitudes de comentarios.

La fuga contiene correos electrónicos, documentos internos, planes de proyectos, presupuestos y contratos. Ofrecen información sobre los amplios esfuerzos del Kremlin en el ámbito cibernético, en un momento en que está llevando a cabo una guerra brutal contra Ucrania. No se sabe si las herramientas creadas por Vulkan se han utilizado para ataques en el mundo real, en Ucrania o en otros lugares.

Pero se sabe que los agentes informáticos rusos han atacado repetidamente las redes informáticas ucranianas; una campaña que continúa. Desde la invasión del año pasado, los misiles de Moscú han golpeado a Kiev y otras ciudades, destruyendo infraestructura crítica y dejando al país a oscuras.

Los analistas dicen que Rusia también está involucrada en un conflicto continuo con lo que percibe como su enemigo: Occidente, representado con US, UK, EU, Canada, Australia y New Zealand, todos los cuales han desarrollado sus propias capacidades ciberofensivas clasificadas en una carrera armamentista digital.

Algunos documentos de la filtración contienen lo que parecen ser ejemplos ilustrativos de objetivos potenciales. Uno contiene un mapa que muestra puntos en los EE.UU. y otro contiene los detalles de una central nuclear en Suiza.

Un documento recomiendan que Rusia aumente sus propias capacidades mediante el uso de herramientas de hacking robadas en 2016 de la Agencia de Seguridad Nacional de EE.UU. y publicadas en línea.

John Hultquist, vicepresidente de análisis de inteligencia de la firma de seguridad cibernética Mandiant, que revisó selecciones del material a pedido del consorcio, dijo: "Estos documentos sugieren que Rusia ve los ataques a la infraestructura crítica civil y la manipulación de las redes sociales como uno y la misma misión, que es esencialmente un ataque a la voluntad de lucha del enemigo".

¿Qué es Vulkan?

El director ejecutivo de Vulkan, Anton Markov, es un hombre de mediana edad, con el pelo corto y bolsas oscuras alrededor de los ojos. Markov fundó Vulkan ("volcán" en español) en 2010, con Alexander Irzhavsky. Ambos son graduados de la academia militar de San Petersburgo y sirvieron en el ejército en el pasado, ascendiendo a capitán y mayor respectivamente.

La compañía es parte del complejo militar-industrial de Rusia. Este mundo subterráneo abarca agencias de espionaje, firmas comerciales e instituciones de educación superior. Especialistas como programadores e ingenieros se mueven de una rama a otra; los actores estatales secretos dependen en gran medida de la experiencia del sector privado.

Vulkan se lanzó en un momento en que Rusia estaba expandiendo rápidamente sus capacidades cibernéticas. Tradicionalmente, el FSB tomaba la delantera en los asuntos cibernéticos. En 2012, Putin nombró al ambicioso y enérgico Sergei Shoigu como ministro de defensa. Shoigu, quien está a cargo de la guerra de Rusia en Ucrania, quería sus propias tropas cibernéticas, reportando directamente a él.

A partir de 2011, Vulkan recibió licencias gubernamentales especiales para trabajar en proyectos militares clasificados y secretos de estado. Es una empresa tecnológica de tamaño medio, con más de 120 empleados, de los cuales unos 60 son desarrolladores de software. No se sabe a cuántos contratistas privados se les otorga acceso a proyectos tan sensibles en Rusia, pero algunas estimaciones sugieren que no son más de una docena.

La cultura corporativa de Vulkan es más Silicon Valley que una agencia de espionaje. Cuenta con un equipo de fútbol del personal y correos electrónicos motivacionales con consejos de acondicionamiento físico y celebraciones de cumpleaños de los empleados. Incluso hay un eslogan optimista: "Hacer del mundo un lugar mejor" que aparece en un brillante video promocional.

Vulkan dice que se especializa en "seguridad de la información"; oficialmente, sus clientes son grandes empresas estatales rusas. Incluyen Sberbank, el banco más grande del país; la aerolínea nacional Aeroflot; y los ferrocarriles rusos. "El trabajo fue divertido. Usamos las últimas tecnologías", dijo un ex empleado que finalmente se fue después de que se desilusionó con el trabajo. "La gente era realmente inteligente. Y el dinero era bueno, muy por encima de la tasa habitual".

Además de la experiencia técnica, esos generosos salarios compraron la expectativa de discreción. Algunos miembros del personal son graduados de la Universidad Técnica Estatal Bauman de Moscú, que tiene una larga historia de proporcionar reclutas al Ministerio de Defensa. Los flujos de trabajo se organizan sobre principios de estricto secreto operativo, y nunca se le dice al personal en qué están trabajando otros departamentos.

El espíritu de la empresa es patriótico, sugiere la filtración. En la víspera de Año Nuevo de 2019, un empleado creó un alegre archivo de Microsoft Excel con música militar soviética y la imagen de un oso. Junto a él estaban las palabras: "APT Magma Bear". La referencia es a grupos de hacking estatales rusos como Cozy Bear y Fancy Bear, y parece apuntar a las propias actividades en la sombra de Vulkan.

Cinco meses después, Markov recordó a sus trabajadores el Día de la Victoria, un feriado del 9 de mayo que celebra la derrota de la Alemania nazi por parte del Ejército Rojo en 1945. "Este es un evento significativo en la historia de nuestro país. Crecí con películas sobre la guerra y tuve la suerte de comunicarme con los veteranos y escuchar sus historias. Estas personas murieron por nosotros, para que podamos vivir en Rusia".

Uno de los proyectos de mayor alcance de Vulkan se llevó a cabo con la bendición de la unidad de ciberguerreros más infame del Kremlin, conocida como Sandworm. Según los fiscales estadounidenses y los gobiernos occidentales, durante la última década, Sandworm ha sido responsable de operaciones de hacking a una escala asombrosa. Ha llevado a cabo numerosos ataques: manipulación política, sabotaje cibernético, interferencia electoral, volcado de correos electrónicos y filtraciones.

Sandworm desactivó la red eléctrica de Ucrania en 2015. Al año siguiente, participó en la descarada operación de Rusia para descarrilar las elecciones presidenciales de EE.UU. Dos de sus agentes fueron acusados de distribuir correos electrónicos robados a los demócratas de Hillary Clinton usando un personaje falso, Guccifer 2.0. Luego, en 2017, Sandworm robó más datos en un intento de influir en el resultado de la votación presidencial francesa, dice Estados Unidos.

Ese mismo año, la unidad desató el ciberataque más importante de la historia. Los operativos utilizaron una pieza de malware a medida llamada NotPetya. Comenzando en Ucrania, NotPetya se extendió rápidamente por todo el mundo. Derribó empresas de transporte, hospitales, sistemas postales y fabricantes de productos farmacéuticos fuera de línea: una avalancha digital que se extendió del mundo virtual al físico.

Los archivos de Vulkan arrojan luz sobre una pieza de maquinaria digital que podría desempeñar un papel en el próximo ataque desatado por Sandworm.

Un sistema 'construido con fines ofensivos'

Una unidad especial dentro del "centro principal de tecnologías especiales" de GRU, Sandworm es conocido internamente por su número de campo 74455. Este código aparece en los archivos de Vulkan como una "parte de aprobación" en un documento técnico. Describe un "protocolo de intercambio de datos" entre una base de datos militar aparentemente preexistente que contiene inteligencia sobre debilidades de software y hardware, y un nuevo sistema que se le había encargado a Vulkan que ayudara a construir: Scan-V.

Los grupos de atacantes informáticos como Sandworm penetran en los sistemas informáticos buscando primero los puntos débiles. Scan-V respalda ese proceso, realizando un reconocimiento automatizado de objetivos potenciales en todo el mundo en una búsqueda de servidores y dispositivos de red potencialmente vulnerables. Luego, la inteligencia se almacena en un depósito de datos, lo que brinda a los atacantes informáticos un medio automatizado para identificar objetivos.

Gabby Roncone, otra experta de la empresa de seguridad cibernética Mandiant, dio la analogía de escenas de viejas películas militares donde la gente coloca "su artillería y tropas en el mapa. Quieren entender dónde están los tanques enemigos y dónde deben atacar primero para romper las líneas enemigas", dijo.

El proyecto Scan fue encargado en mayo de 2018 por el Instituto de Ingeniería Física, un centro de investigación en la región de Moscú estrechamente asociado con el GRU. Todos los detalles fueron clasificados. No está claro si Sandworm era un usuario previsto del sistema, pero en mayo de 2020 un equipo de Vulkan visitó una instalación militar en Khimki, la misma ciudad en las afueras de Moscú donde se encuentra la unidad de hacking, para probar el sistema Scan.

"Scan definitivamente está diseñado para fines ofensivos. Se adapta cómodamente a la estructura organizativa y al enfoque estratégico del GRU", dijo un analista después de revisar los documentos. "No encuentras diagramas de red y documentos de diseño como este muy a menudo. Realmente es un asunto muy complicado".

Los archivos filtrados no contienen información sobre el código malicioso ruso o el malware utilizado para las operaciones de hacking. Pero un analista de Google dijo que en 2012 la empresa de tecnología vinculó a Vulkan con una operación que involucraba un malware conocido como MiniDuke. La SVR, la Agencia de Inteligencia Extranjera de Rusia, usó MiniDuke en campañas de phishing. La filtración muestra que una parte encubierta del SVR, la unidad militar 33949, contrató a Vulkan para trabajar en múltiples proyectos. La empresa nombró a su cliente "sanatorium" y "dispensary".

Control, vigilancia y desinformación en Internet

En 2018, un equipo de empleados de Vulkan viajó al sur para asistir a la prueba oficial de un amplio programa que permite el control, la vigilancia y la desinformación de Internet. La reunión tuvo lugar en el Instituto de Investigación de Radio de Rostov-on-Don, vinculado al FSB. Subcontrató a Vulkan para ayudar en la creación del nuevo sistema, denominado Amezit, que también estaba vinculado en los archivos al ejército ruso.

"Mucha gente trabajó en Amezit. Se invirtió dinero y tiempo", recuerda un exempleado. "Otras empresas también participaron, posiblemente porque el proyecto era muy grande e importante".

Vulkan jugó un papel central. Ganó un contrato inicial para construir el sistema Amezit en 2016, pero los documentos sugieren que los ingenieros de Vulkan aún estaban mejorando partes de Amezit hasta bien entrado 2021, con planes para un mayor desarrollo en 2022.

Una parte de Amezit es doméstica, lo que permite a los operativos secuestrar y tomar el control de Internet si estallan disturbios en una región rusa, o si el país gana un bastión sobre el territorio de un estado nación rival, como Ucrania. El tráfico de Internet que se considere políticamente dañino puede eliminarse antes de que tenga la posibilidad de propagarse.

Un documento interno de 387 páginas explica cómo funciona Amezit. Las fuerzas armadas necesitan acceso físico a hardware, como torres de telefonía móvil, y comunicaciones inalámbricas. Una vez que controlan la transmisión, el tráfico puede ser interceptado. Los espías militares pueden identificar a las personas que navegan por la web, ver a qué acceden en línea y rastrear la información que comparten los usuarios.

Desde la invasión del año pasado, Rusia arrestó a manifestantes contra la guerra y aprobó leyes punitivas para evitar las críticas públicas a lo que Putin llama una "operación militar especial". Los archivos de Vulkan contienen documentos vinculados a una operación del FSB para monitorear el uso de las redes sociales dentro de Rusia a una escala gigantesca, utilizando análisis semánticos para detectar contenido "hostil".

Según una fuente familiarizada con el trabajo de Vulkan, la empresa desarrolló un programa de recolección a granel para el FSB llamado Fraction. Peina sitios como Facebook u Odnoklassniki, el equivalente ruso, en busca de palabras clave. El objetivo es identificar posibles figuras de la oposición a partir de datos de código abierto.

El personal de Vulkan visitaba regularmente el centro de seguridad de la información del FSB en Moscú, la unidad cibernética de la agencia, para consultar sobre el programa secreto. El edificio está al lado de la sede de Lubyanka del FSB y de una librería; la filtración revela que los espías de la unidad fueron apodados en broma "amantes de los libros".

El desarrollo de estos programas secretos habla de la paranoia en el corazón del liderazgo de Rusia. Está aterrorizado por las protestas callejeras y la revolución del tipo visto en Ucrania, Georgia, Kirguistán y Kazajstán. Moscú considera que Internet es un arma crucial para mantener el orden. En casa, Putin ha eliminado a sus oponentes. Los disidentes han sido encerrados; críticos como Alexei Navalny envenenados y encarcelados.

Es una pregunta abierta si los sistemas Amezit se han utilizado en la Ucrania ocupada. En 2014, Rusia se tragó de forma encubierta las ciudades orientales de Donetsk y Lugansk. Desde el año pasado, ha tomado más territorio y cerrado los servicios de Internet y móviles de Ucrania en las áreas que controla. Los ciudadanos ucranianos se han visto obligados a conectarse a través de proveedores de telecomunicaciones con sede en Crimea, con tarjetas SIM entregadas en campamentos de "filtración" dirigidos por el FSB.

Sin embargo, los reporteros pudieron rastrear la actividad del mundo real llevada a cabo por cuentas de redes sociales falsas vinculadas a Vulkan como parte de un subsistema de Amezit, cuyo nombre en código es PRR.

Herramientas para la propaganda doméstica automatizada

Ya se sabía que el Kremlin había hecho uso de su fábrica de desinformación, la Agencia de Investigación de Internet con sede en San Petersburgo, que ha sido incluida en la lista de sanciones de Estados Unidos. El multimillonario Yevgeny Prigozhin, aliado cercano de Putin, está detrás de la operación de manipulación masiva. Los archivos de Vulkan muestran cómo el ejército ruso contrató a un contratista privado para construir herramientas similares para la propaganda doméstica automatizada.

Este subsistema Amezit permite al ejército ruso llevar a cabo operaciones de desinformación encubiertas a gran escala en las redes sociales y en Internet, mediante la creación de cuentas que se asemejan a personas reales en línea o avatares. Los avatares tienen nombres y fotos personales robadas, que luego se cultivan durante meses para crear una huella digital realista.

La filtración contiene capturas de pantalla de cuentas de Twitter falsas y hashtags utilizados por el ejército ruso desde 2014 hasta principios de este año. Difunden desinformación, incluida una teoría de la conspiración sobre Hillary Clinton y la negación de que el bombardeo de Siria por parte de Rusia haya matado a civiles. Tras la invasión de Ucrania, una cuenta falsa de Twitter vinculada a Vulkan publicó: "Excelente líder #Putin".

Otro proyecto desarrollado por Vulkan vinculado a Amezit es mucho más amenazante. Con el nombre en código Crystal-2V, es una plataforma de capacitación para ciberoperadores rusos. Capaz de permitir el uso simultáneo de hasta 30 alumnos, parece simular ataques contra una variedad de objetivos esenciales de infraestructura nacional: líneas ferroviarias, estaciones eléctricas, aeropuertos, vías fluviales, puertos y sistemas de control industrial.

¿Un riesgo de seguridad continuo?

La naturaleza intrusiva y destructiva de las herramientas para las que se contrató a Vulkan genera preguntas difíciles para los desarrolladores de software que han trabajado en estos proyectos. ¿Pueden ser descritos como ciber-mercenarios? ¿O espías rusos? Algunos casi seguro que lo son. Otros son quizás meros engranajes en una máquina más amplia, que realizan importantes tareas de ingeniería para el complejo cibermilitar de su país.

Hasta la invasión rusa de Ucrania en 2022, el personal de Vulkan viajaba abiertamente a Europa occidental y asistía a conferencias de TI y ciberseguridad, incluida una reunión en Suecia, para mezclarse con delegados de empresas de seguridad occidentales.

Los ex graduados de Vulkan ahora viven en Alemania, Irlanda y otros países de la UE. Algunos trabajan para corporaciones tecnológicas globales. Dos están en Amazon Web Services y Siemens. Siemens se negó a comentar sobre empleados individuales, pero dijo que tomaba esas preguntas "muy en serio". Amazon dijo que implementó "controles estrictos" y que proteger los datos de los clientes era su "máxima prioridad".

No está claro si los ex ingenieros de Vulkan ahora en el oeste representan un riesgo para la seguridad y si han llamado la atención de las agencias de contrainteligencia occidentales. Al parecer, la mayoría tiene familiares en Rusia, una vulnerabilidad conocida por haber sido utilizada por el FSB para presionar a los profesionales rusos en el extranjero para que colaboren.

Contactado por un reportero, un ex miembro del personal expresó su pesar por haber ayudado a la agencia de espionaje nacional y militar de Rusia. "Al principio no estaba claro para qué se usaría mi trabajo. Con el tiempo entendí que no podía seguir y que no quería apoyar al régimen. Tenía miedo de que me pasara algo o terminara en la cárcel".

También hubo enormes riesgos para el denunciante anónimo detrás de los archivos de Vulkan. El régimen ruso es conocido por cazar a aquellos a los que considera traidores. En su breve intercambio con un periodista alemán, el filtrador dijo que eran conscientes de que dar información confidencial a los medios extranjeros era peligroso. Pero habían tomado precauciones que les cambiaron la vida. Habían dejado atrás su vida anterior, dijeron, y ahora existían "como un fantasma".

Fuente: The Guardian

Traducción Cristian Borghello