El informe Mueller sobre la interferencia rusa en las elecciones USA de 2016 (11)

III. OPERACIONES RUSAS DE ESPIONAJE INFORMÁTICO.

Antes de entrar en detalles, el resumen: Desde marzo de 2016, dos unidades del espionaje ruso GRU piratearon ordenadores y cuentas de correo de organizaciones (como el Comité Demócrata para la Campaña al Congreso, DCCC, y el Comité Nacional Demócrata, DNC), empleados (incluyendo al jefe de la campaña J. Podesta) y voluntarios de la campaña de Clinton, haciéndose con decenas de miles de documentos, que posteriormente fueron publicados a través de las cuentas falsas DCLeaks y Guccifer 2.0 y, posteriormente, a través de WikiLeaks. Según el informe, "La publicación de esos documentos fue diseñada y sincronizada para interferir en la elección presidencial de 2016 y socavar la Campaña de Clinton".

WikiLeaks publicó los correos de J. Podesta el 7 de octubre de 2016, el mismo día en que se recuperaba un antiguo vídeo de Trump diciendo barbaridades sobre las mujeres (el informe lo camufla como "expresiones gráficas").

En una nota al pie se indica que se presentaron cargos contra 12 miembros del GRU por conspiración para introducirse en ordenadores, entre otras acusaciones.

A. EL PIRATEO DEL GRU DIRIGIDO HACIA LA CAMPAÑA DE CLINTON.

1. UNIDADES DEL GRU APUNTAN A LA CAMPAÑA DE CLINTON.

Esa primera aproximación sería llevada a cabo por dos unidades militares del GRU:

• Unidad militar 26165: Focalizada en objetivos militares, políticos, gubernamentales y ONG fuera de Rusia. Uno de sus departamentos se encargaría de desarrollar malware y otro de llevar a cabo campañas de phising (para obtener claves y demás o para conseguir descargar el malware). La compra de la infraestructura informática utilizada en esta operación se hizo mediante minado de bitcoins.
• A mediados de marzo de 2016, se dedicaron a piratear al DCCC y al DNC y a cuentas de personas afiliadas a la Campaña de Clinton (democrats.org, hillaryclinton.com, dnc.org, dccc.org) y el envío de unos 90 correos de phising (a cuentas de hillaryclinton.com). Posteriormente, se dedicaron a cuentas de correo de Google utilizadas por empleados de la Campaña de Clinton y de cuentas de correo de dnc.org.
• Unidad militar 74455: Encargada de distribuir la información robada por la Unidad 26165 e información anti-Clinton en las redes sociales manejadas por el GRU. También piratearon ordenadores de organismos electorales, secretarías de estado y empresas proveedoras de software y tecnología para la administración electoral.

2. INTRUSIONES EN LAS REDES INFORMÁTICAS DEL DCCC Y DEL DNC.

a. Acceso inicial.

El 12 de abril de 2016 el GRU tenía acceso a la red informática del DCCC, al robar las credenciales de uno de sus empleados una semana antes. una vez dentro del sistema, siguieron avanzando a medida que obtenían nuevas credenciales (incluyendo las de administradores del sistema que no tenían restricción de acceso) hasta tener bajo control unos 29 ordenadores.

El 18 de abril de 2016, el GRU ya tenía acceso al sistema del DNC a través de la VPN que conectaba las redes del DCCC con el DNC. Hasta el 6 de junio de 2016, habrían tenido acceso a más de 30 ordenadores, incluyendo el servidor de correo y el servidor de ficheros compartidos.

b. Implantación del malware en los sistemas informáticos del DCCC y del DNC.

Los dos tipos de malware implantados por la Unidad 26165 fueron:

• X-agent (en.wikipedia.org/wiki/X-Agent; malpedia.caad.fkie.fraunhofer.de/details/win.xagent): Herramienta multi-función que permitía registrar pulsaciones de teclado, hacer pantallazos y recopilar datos del ordenador.
• X-tunnel : Crea una conexión encriptada entre el ordenador infectado y los ordenadores controlados por el GRU fuera de los sistemas del DCCC y del DNC para transmitir los datos robados. Esos ordenadores exteriores (a través de VPN alquiladas en otros proveedores) eran de dos tipos, los que estaban directamente conectados a los ordenadores interiores, llamados "servidores intermedios" que los enviaban a otro grupo de ordenadores, llamado "panel AMS", donde eran revisados por los miembros del GRU y que también servían para controlar las operaciones. El AMS Panel estaba en un lugar de Arizona.

Además, usaron Mimikatz, para recopilar credenciales (creado por un tal Benjamin Delpy y publicado en GitHub con todos los detalles para usarlo. El muchacho tiene el detalle de pedir que no se use para "hacer cosas malas"!!!) ; y rar.exe para compilar y comprimir el material robado antes de sacarlo.

(Como ejemplo sobre el poco cuidado que hacen los usuarios de una red informática, el GRU también obtuvo información sobre cuentas bancarias y otra "información personal sensible", o sea, que posiblemente además de pillar pasta haya mucho porno y fotos por ahí, que ya sabemos lo guarros que son los liberales...).

c. Robo de documentos de los sistemas informáticos del DCCC y del DNC.

Habría documentos sobre estrategia electoral, datos de financiación, investigaciones sobre los republicanos y los correos electrónicos.

El 12 de abril entraron en la red y ya el 14 de abril consiguieron descargar rar.exe en el servidor de ficheros del DCCC. El 15 de abril ya estaban buscando documentos que contuvieran "Hillary", "DNC", "Cruz" y "Trump". Y el 25 de abril ya habían recopilado y comprimido PDFs y documentos de Microsoft del servidor de archivos compartidos del DCCC relacionados con las elecciones. Sólo de este servidor se llevaron más de 70GB de datos.

El 18 de abril de 2016 el GRU entraba en los ordenadores del DNC. El 22 de abril ya estaba transfiriendo documentos a sus ordenadores exteriores. Y desde el 25 de mayo al 1 de junio el GRU habría tenido acceso al servidor de correo del DNC. Serían los correos que WikiLeaks publicaría en julio.