El grupo de ciberespionaje Pawn Storm configuró servidores VPN y SFTP falsos para atacar a los empleados de la Junta de Seguridad Holandesa.

Un grupo de ciberespionaje ruso, que con frecuencia ataca instituciones gubernamentales de los países miembros de la OTAN, trató de infiltrarse en la investigación internacional sobre el accidente de Malaysia Airlines Vuelo 17 (MH17).

El MH17 era un vuelo de pasajeros de Amsterdam a Kuala Lumpur que se estrelló en el este de Ucrania cerca de la frontera con Rusia, el 17 de julio de 2014. Los 283 pasajeros y 15 miembros de la tripulación perdieron la vida.

La Junta de Seguridad Holandesa condujo una investigación internacional sobre el incidente y dio a conocer un informe final el 13 de octubre, concluyendo que la aeronave Boeing 777-200 fue derribada por una ojiva nuclear lanzada desde un sistema de misiles Buk de fabricación rusa.

Los investigadores de seguridad de Trend Micro han encontrado pruebas de que un grupo de ciberespionaje llamado Pawn Storm (del cual se sospechan vínculos con los servicios de inteligencia rusos), ha tenido como objetivo a la Junta de Seguridad Holandesa antes y después del informe del MH17.

El 28 de septiembre el grupo estableció un servidor pirata SSH File Transfer Protocol (SFTP) imitando el utilizado por la Junta de Seguridad Holandesa. El 14 de octubre el grupo hizo lo mismo con un servidor de red privada virtual (VPN).

El 29 de septiembre un servidor falso de Outlook Web Access (OWA) también fue creado por el grupo para llegar a un socio de la Junta de Seguridad Holandesa en la investigación MH17, dijeron los investigadores de Trend Micro en una entrada de blog el jueves.

Es probable que los servidores piratas hayan sido creados con el objetivo de obtener las credenciales de acceso de las personas involucradas en la investigación del accidente MH17 para obtener acceso a información confidencial, según los investigadores.

Esta es la primera vez que los investigadores de Trend Micro ven un grupo de ciberespionaje configurar un servidor VPN  para robar credenciales. A pesar de que el servidor real de la Junta de Seguridad Holandesa utiliza tokens de acceso temporales para la autenticación, pueden ser robados con facilidad, no se protegen contra el acceso fraudulento, dijeron los investigadores.

En la mayoría de los ataques de Pawn Storm hasta la fecha se han reflejado los intereses geopolíticos de Rusia. El grupo ha intensificado recientemente sus campañas contra los críticos de la intervención del país en el conflicto sirio.

En los dos últimos meses, varios servidores OWA ílegitimos se establecieron para lanzar ataques de phishing contra los militares y los ministerios de defensa y relaciones exteriores de la mayoría de los países de Oriente Medio que se oponen a la campaña militar rusa en Siria, dijeron los investigadores de Trend Micro.