Ataque Industroyer2 a una subestación eléctrica ucraniana

El 8 de abril de 2022, el Ukrainian Computer Emergency Response Team (CERT-UA), con apoyo de ESET y Microsoft, intervino en una operación activa de Sandworm contra un proveedor regional de electricidad de Ucrania que atendía a aproximadamente dos millones de personas. La investigación determinó que los atacantes habían estado dentro de la red IT de la empresa de servicios públicos desde al menos febrero de 2022 y se habían movido lateralmente hacia el entorno ICS a mediados de marzo. Un binario personalizado, nombrado Industroyer2 por ESET, había sido compilado el 23 de marzo con direcciones de objetos de información IEC 60870-5-104 codificadas de forma rígida que correspondían a la subestación específica bajo ataque; esto difería estructuralmente del malware Industroyer / CrashOverride de 2016, que era modular y flexible en protocolos. Una tarea programada creada a las 15:02 UTC del 8 de abril estaba configurada para ejecutar Industroyer2 a las 16:10 UTC, seguida a las 16:20 UTC por CaddyWiper para destruir estaciones de trabajo de operadores y retrasar la recuperación; AWFULSHRED, SOLOSHRED y ORCSHRED estaban preparados para limpiar hosts Linux y Solaris que ejecutaban ABB MicroSCADA y soportaban conectividad RTU. La detección y eliminación por parte de CERT-UA de las cargas preparadas evitó cualquier apagón real de cara a clientes. ESET, Mandiant / Google TAG y Dragos atribuyeron la operación a Sandworm (GRU Unit 74455); Dragos evaluó solapamiento de clúster de actividad bajo su designación ELECTRUM.

No hubo apagón real; el alcance contrafactual era de aproximadamente dos millones de clientes si la secuencia destructiva se hubiera completado. La importancia operativa es doctrinal: este es el primer despliegue de clase Industroyer desde el ataque de 2016 a la red eléctrica ucraniana, en tiempo de guerra, y contra un objetivo de mayor valor.