La empresa cibernética rusa de mil millones de dólares que Estados Unidos dice hackea para Moscú

Los hackers de Positive Technologies son innegablemente buenos en lo que hacen. La firma rusa de ciberseguridad publica regularmente investigaciones de gran prestigio, analiza las fallas de seguridad informática de vanguardia y ha detectado vulnerabilidades en equipos de red, señales telefónicas y tecnología de automóviles eléctricos.

Pero las agencias de inteligencia estadounidenses han llegado a la conclusión de que esta empresa de mil millones de dólares, que tiene su sede en Moscú, pero tiene oficinas en todo el mundo, hace mucho más que eso.

Positive fue una de las empresas de tecnología aprobadas por Estados Unidos el jueves por su papel de apoyo a las agencias de inteligencia rusas. El presidente Joe Biden declaró una emergencia nacional para hacer frente a la amenaza que, según él, representa Moscú para Estados Unidos. Pero los detalles de las sanciones publicadas por el Departamento del Tesoro solo cubren una pequeña fracción de lo que los estadounidenses creen ahora sobre el papel de Positive en Rusia.

MIT Technology Review entiende que los funcionarios estadounidenses han concluido en privado que la empresa es un importante proveedor de herramientas de piratería, conocimientos e incluso operaciones ofensivas para los espías rusos. Se cree que Positive es parte de una constelación de empresas del sector privado y grupos ciberdelincuentes que apoyan los objetivos geopolíticos de Rusia, y que Estados Unidos ve cada vez más como una amenaza directa.

El lado público de Positive es como muchas empresas de ciberseguridad: el personal observa la seguridad de alta tecnología, publica investigaciones sobre nuevas amenazas e incluso tiene carteles cursis en la oficina que dicen “¡manténgase positivo!” colgando sobre sus escritorios. La compañía es abierta sobre algunos de sus vínculos con el gobierno ruso y cuenta con un historial de 18 años de experiencia en ciberseguridad defensiva, incluida una relación de dos décadas con el Ministerio de Defensa ruso. Pero de acuerdo con evaluaciones de inteligencia estadounidenses no reportadas previamente, también desarrolla y vende exploits de software armados al gobierno ruso.

Un área que se destacó es el trabajo de la empresa en SS7, una tecnología que es fundamental para las redes telefónicas globales. En una demostración pública para Forbes, Positive mostró cómo puede eludir el cifrado explotando las debilidades en SS7. En privado, EE. UU. Ha llegado a la conclusión de que Positive no solo descubrió y publicitó fallas en el sistema, sino que también desarrolló capacidades de piratería ofensiva para explotar los agujeros de seguridad que luego fueron utilizados por la inteligencia rusa en campañas cibernéticas.

Mucho de lo que Positive hace por las operaciones de piratería del gobierno ruso es similar a lo que hacen los contratistas de seguridad estadounidenses por las agencias estadounidenses. Pero existen grandes diferencias. Un exfuncionario de inteligencia estadounidense, que solicitó el anonimato porque no está autorizado para discutir material clasificado, describió la relación entre empresas como Positive y sus contrapartes de inteligencia rusa como “compleja” e incluso “abusiva”. La paga es relativamente baja, las demandas son unilaterales, la dinámica de poder está sesgada y la amenaza implícita de la falta de cooperación puede cobrar gran importancia.

Estrecha relación de trabajo

Las agencias de inteligencia estadounidenses han concluido durante mucho tiempo que Positive también ejecuta operaciones de piratería en sí, con un gran equipo autorizado para ejecutar sus propias campañas cibernéticas siempre que sean de interés nacional de Rusia. Tales prácticas son ilegales en el mundo occidental: los contratistas militares privados estadounidenses están bajo la administración directa y diaria de la agencia para la que trabajan durante los contratos cibernéticos.

Ex funcionarios estadounidenses dicen que existe una estrecha relación de trabajo con la agencia de inteligencia rusa FSB que incluye el descubrimiento de exploits, el desarrollo de malware e incluso la ingeniería inversa de las capacidades cibernéticas utilizadas por naciones occidentales como Estados Unidos contra la propia Rusia.

El evento anual más importante de la compañía, Positive Hack Days, se describió en las recientes sanciones de EE. UU. Como “eventos de reclutamiento para el FSB y GRU”. El evento ha sido famoso durante mucho tiempo por ser frecuentado por agentes rusos.

Positive no respondió a una solicitud de comentarios.

Tal para cual
El anuncio del jueves no es la primera vez que las empresas de seguridad rusas son objeto de escrutinio.

La mayor empresa rusa de ciberseguridad, Kaspersky, ha sido criticada durante años por sus relaciones con el gobierno ruso, y finalmente fue prohibida en las redes gubernamentales de Estados Unidos. Kaspersky siempre ha negado una relación especial con el gobierno ruso.

Pero un factor que distingue a Kaspersky de Positive, al menos a los ojos de los funcionarios de inteligencia estadounidenses, es que Kaspersky vende software antivirus a empresas y gobiernos occidentales. Hay pocas herramientas de recopilación de inteligencia mejores que un antivirus, un software que está diseñado expresamente para ver todo lo que sucede en una computadora e incluso puede tomar el control de las máquinas que ocupa. Los funcionarios estadounidenses creen que los piratas informáticos rusos han utilizado el software de Kaspersky para espiar a los estadounidenses, pero Positive, una empresa más pequeña que vende diferentes productos y servicios, no tiene equivalente.

Las sanciones recientes son el último paso en un ojo por ojo entre Moscú y Washington por la escalada de las operaciones cibernéticas, incluido el ataque SolarWinds patrocinado por Rusia contra los EE. UU., Que llevó a que nueve agencias federales fueran pirateadas durante un largo período de tiempo. A principios de este año, el director interino de la agencia de ciberseguridad de EE. UU. Dijo que la recuperación de ese ataque podría llevar a EE. UU. Al menos 18 meses.