La Raspberry Pi como puerta trasera: cuando los hackers se vuelven físicos
Un ciberataque de manual es algo que todos nos imaginamos detrás de una pantalla, líneas de código malicioso entrando por alguna vulnerabilidad del software. Pero ¿qué pasa cuando los atacantes se saltan todas estas barreras y simplemente colocan un dispositivo físico dentro de la red? Esto es exactamente lo que ocurrió recientemente en un banco cuando hackers del grupo UNC2891 decidieron utilizar una táctica tan simple como efectiva: plantar una Raspberry Pi con conectividad 4G directamente en la infraestructura de la entidad.
El hardware como vector de ataque: la nueva vieja escuela
Lo fascinante de este caso es que mientras todos miramos al cielo esperando ataques sofisticados por Internet, los atacantes decidieron volver a lo básico. Colocar físicamente un dispositivo dentro de la red de un banco parece algo sacado de una película de espionaje, pero resulta ser tremendamente efectivo para la ciberseguridad moderna.
La estrategia fue brillante en su simplicidad: conectar una Raspberry Pi (ese minicomputador del tamaño de una tarjeta de crédito) directamente al mismo conmutador de red que utilizaba el sistema de cajeros automáticos. Con esto, los atacantes se saltaron todas las defensas perimetrales de un plumazo. No hay firewall que te proteja cuando el enemigo ya está dentro de casa.
Lo que hace que esta táctica sea particularmente peligrosa es la combinación del acceso físico con la conectividad 4G. La Raspberry no necesitaba utilizar la conexión a Internet del banco para comunicarse con sus controladores, tenía su propia línea de comunicación independiente a través de datos móviles.
De la Raspberry al sistema de cajeros: el puente hacia el dinero
El objetivo final no era simplemente estar dentro de la red, sino llegar hasta el módulo de seguridad de hardware del banco. Este dispositivo es el santo grial para los ciberdelincuentes financieros: almacena credenciales, firmas digitales y maneja las operaciones de cifrado/descifrado. Quien controla esto, controla el dinero.
Los atacantes utilizaron la Raspberry como punto de entrada, pero su estrategia era mucho más elaborada. Establecieron una especie de red de comunicación triangular entre:
- La Raspberry Pi infiltrada
- Un servidor de correo comprometido (elegido por su conectividad constante a Internet)
- El servidor de monitoreo del banco (que tenía acceso a casi todos los servidores)
Esta estructura permitía mantener persistencia en la red y operar sin levantar demasiadas sospechas. Si no hubiera sido por investigadores atentos que notaron patrones de comunicación extraños, quién sabe cuánto tiempo habrían permanecido infiltrados.
Técnicas de ocultación avanzadas: cuando el malware juega al escondite
Lo que realmente me parece notable de este ataque es cómo los hackers combinaron hardware físico con técnicas de software ultrasofisticadas para permanecer ocultos. No solo plantaron el dispositivo, sino que utilizaron métodos nunca vistos para esconder su malware.
El truco del «enlace de montaje»: invisibilidad forense
Los atacantes emplearon una técnica conocida como «enlace de montaje de Linux», algo que hasta ahora solo se había visto en la gestión legítima de sistemas, nunca en un ataque. Esta estrategia es tan efectiva que logró evadir incluso herramientas forenses avanzadas.
Para que lo entendamos: es como si alguien colocara un explosivo dentro de una caja de herramientas normal, pero modificara el entorno para que cada vez que alguien abriera la caja, solo viera las herramientas legítimas. El explosivo seguiría ahí, pero se volvería invisible a simple vista.
Esta técnica ha sido tan significativa que Group-IB la ha añadido al marco MITRE ATT&CK (una especie de enciclopedia global de tácticas y técnicas de ciberataque) como «T1564.013 – Ocultar artefactos: Enlaces de montaje». Sí, estos atacantes literalmente han «innovado» en el mundo del cibercrimen.
Disfraces digitales: cuando el malware se viste de legítimo
Otro detalle ingenioso fue cómo los atacantes disfrazaron sus procesos maliciosos. Nombraron su backdoor «lightdm», imitando al administrador de pantalla legítimo de Linux, e incluso lo configuraron para que utilizara argumentos de línea de comandos que parecían normales.
Es como si un ladrón no solo se vistiera como el cartero, sino que también llevara el mismo tipo de bolsa, saludara a los vecinos por su nombre y conociera exactamente las rutas habituales. El nivel de detalle en el engaño es lo que hace a estos atacantes particularmente peligrosos.
UNC2891: los artesanos del cibercrimen financiero
Este ataque no fue obra de principiantes. El grupo responsable, UNC2891, lleva activo desde al menos 2017 y tiene un historial impresionante de ataques contra infraestructuras bancarias. Lo que los distingue es su paciencia y competencia técnica, especialmente con sistemas Linux, Unix y Oracle Solaris.
En 2022, Mandiant (ahora parte de Google) documentó cómo este grupo era capaz de permanecer años dentro de una red objetivo sin ser detectado. Desarrollaron herramientas como CakeTap, un rootkit especializado para Solaris que podía manipular transacciones de cajeros automáticos para facilitar retiros fraudulentos.
Este nuevo ataque demuestra que siguen evolucionando y encontrando formas cada vez más creativas de comprometer sistemas financieros. Lo preocupante no es solo lo que han logrado hasta ahora, sino lo que podrían estar planeando para el futuro.
La lección: la seguridad física y digital deben ir de la mano
Este incidente nos recuerda algo fundamental que a veces olvidamos: no importa cuán sofisticadas sean tus defensas digitales si alguien puede acceder físicamente a tu infraestructura. Es como tener la mejor cerradura del mundo en tu puerta principal mientras dejas la ventana del baño abierta.
Para las organizaciones, especialmente las financieras, esto implica:
- Revisar los controles de acceso físico con el mismo rigor que las defensas digitales
- Implementar sistemas de detección de dispositivos no autorizados en la red
- Monitorear patrones de comunicación inusuales, incluso en equipos aparentemente legítimos
- Realizar auditorías periódicas tanto del hardware conectado como del software en ejecución
Afortunadamente, en este caso los investigadores detectaron el ataque antes de que UNC2891 pudiera completar su objetivo de infectar la red de conmutación de cajeros automáticos. Pero no todos tienen la suerte de contar con equipos de seguridad tan atentos.
La próxima vez que pienses en ciberseguridad, recuerda que a veces la amenaza no viene por un cable de red hacia el exterior, sino en forma de una pequeña computadora del tamaño de una tarjeta de crédito, plantada directamente junto a tus sistemas más críticos.
