Suplantación, engaños y troyanos: en época de guerra, nuevas técnicas de pillaje en Internet

Las guerras dejan a la población desprotegida, no solo ante las armas sino frente al pillaje. Ahora también en Internet. Miles de personas han sido víctimas desde 2014 en Libia de un ataque informático para rastrear sus ordenadores bajo la máscara de arengas políticas en Facebook. La firma de ciberseguridad Check Point ha descubierto cerca de 30 páginas en esta red social que infectaban con un malware a los usuarios que pinchaban en los enlaces que, con el estímulo de un falso mensaje, la página publicaba.  

Las páginas incluían enlaces que a su vez llevaban a otras webs donde los usuarios se infectaban casi de forma instantánea. Algunas de ellas contaban con más de 100.000 seguidores. Los perfiles de Facebook prometían información sobre la guerra en Libia y ofrecían imágenes sobre los últimos acontecimientos que estaban teniendo lugar en el país, de documentos oficiales o acerca de la detención de terroristas.

Los ciberatacantes llegaron a suplantar la identidad de Jalifa Hafter, jefe del autoproclamado Ejército Nacional Libio. Hafter no usa Internet, por lo que fue fácil para los hackers crear una página en Facebook con su nombre y su fotografía sin que estuviera duplicado con otro original. Llegó a tener 11.000 seguidores y a publicar contenido casi a diario relacionado con unas supuestas filtraciones de los servicios de inteligencia libios. Pero era todo mentira.

“La página de Hafter llevaba activa desde abril, aunque había otras anteriores”, explica a eldiario.es Eusebio Nieva, director técnico de Check Point para España y Portugal. Nieva recuerda que, a pesar de que la página tuviera 11.000 seguidores “esto no quiere decir que no haya algunos que sean ocasionales. Como mínimo el potencial es ese, pero probablemente sea muchísimo mayor”.

Más de 30 páginas y hasta 40 links maliciosos

Check Point ha descubierto unos 40 links maliciosos en las más de 30 páginas de Facebook que publicaban contenido falso. “Uno de ellos era un enlace embebido que te descargaba un fichero vbb, un scripting de VisualBasic. También había ficheros .apk, que son apps de Android”, continúa Nieva. Sin saberlo, los usuarios se estaban descargando troyanos que recopilaban su información, sus contraseñas y les hacían un seguimiento de las webs que visitaban.

Para enmascarar el nombre de las webs de destino, los ciberatacantes utilizaban acortadores de URLs como bit.ly, goo.gl y tinyurl. Estos servicios permiten cambiar la apariencia de un link en Internet y reducirlo, de tal forma que la típica dirección https://www... aparezca como bit.ly/... Así, los usuarios no saben adónde van y ante los ojos de Facebook no parece que se esté cometiendo ninguna infracción. 

Nieva desvela además que en “uno de los enlaces en los que más pincharon los usuarios (10.500 veces)”, aproximadamente la mitad de los clicks provenían de Libia, “el país de origen del malware”, dice. Fuera de Facebook, los ciberatacantes llegaron incluso a infectar la web de Libyana, una operadora móvil del país árabe. En 2014, algunas webs libias redirigían al sitio de Libyana y más concretamente a un archivo .RAR, ofrecido como un paquete de crédito que regalaba la operadora. Lo que contenía era, en realidad, un archivo ejecutable malicioso .NET, una librería de Windows.

Este diario se ha puesto en contacto con Facebook, que asegura haber borrado todas las páginas relacionadas con el incidente tras el aviso de Check Point. “Violaron nuestras políticas y las retiramos. Seguimos invirtiendo en tecnología para mantener la actividad maliciosa fuera de Facebook y animamos a la gente a que permanezca alerta a la hora de hacer clic en enlaces sospechosos o descargar software no fiable”, señala un portavoz de la red social.

Nada en Facebook te obliga a decir la verdad

Facebook reconoce que tienen trabajo por delante a la hora de luchar contra los contenidos falsos y dicen estar invirtiendo en el equipo de revisión de contenidos y en sus sistemas de Inteligencia Artificial. “Al final, si Facebook no realiza un análisis de los enlaces o de las URLs que se incorporan en las páginas y de lo bueno o malos que sean, no puede saber si la página es buena o mala a menos que alguien detecte el problema y lo denuncie”, señala Nieva.

Sin embargo, las páginas de Facebook cumplieron con los estándares de la comunidad y no se saltaron las reglas a la hora de publicar contenido. Recordemos que el propio Mark Zuckerberg dijo hace no mucho que carecen de una política que estipule “que la información que se publica en Facebook deba ser verdad”. “Facebook no actúa por defecto porque no monitoriza el contenido de manera proactiva, sino que lo hace en función de las denuncias”, explica el directivo de Check Point.

Nieva termina recordando que “cualquier tipo de noticia o de acontecimiento que genere mucha actividad y que de manera correspondiente pueda ser utilizado para infectar a mucha gente, es susceptible de ser utilizado en Facebook o en cualquier otra página”. Es por eso que el directivo rechaza que se haya tratado de un ataque orquestado por otro estado y fija el foco en la “motivación económica” de los ciberatacantes, aunque no descarta “que sea una forma de control, seguimiento o espionaje de simpatizantes de la causa en cuestión”.