Utilizar un VPN tiene diversas ventajas, sobre todo dependiendo desde el país en el que busques acceder a Internet. Por ejemplo, podemos navegar de forma anónima en la red, o podemos acceder a través de otro país para evitar contenido bloqueado. Sin embargo, hay un VPN que es peor aún que no usarlo, ya que filtra todos tus datos.

Irán tiene su propio VPN para hackear por todo el mundo

Así es el VPN que han descubierto investigadores de Trend Micro. Este VPN estaba operado por APT33, un grupo de hackeo financiado por el gobierno de Irán que además es el más avanzado del país y uno de los mejores del mundo. Ellos fueron los encargados del malware Shamoon que permitía borrar el disco duro de ordenadores enteros, y que usaron para eliminar todos los datos de 35.000 ordenadores de la petrolera estatal de Arabia Saudí: Saudi Aramco.

Aunque han estado con un perfil bajo en los últimos años, en 2019 el grupo ha empezado a lanzar nuevamente ataques en el mundo contra industrias petroleras y de aviación; la mayoría de Estados Unidos. Por ello, Trend Micro se dispuso a investigar su actividad, y han obtenido mucha información sobre cómo el grupo gestiona su infraestructura de hackeo.

El grupo cuenta con una estructura de cuatro capas entre sus operadores y los objetivos para evitar se detectados. La primera capa consiste en un VPN personalizado creado por ellos mismos que esconde las direcciones IP y la ubicación reales de sus operadores. En la segunda usan una capa hecha de servidores intermediarios.

En la tercera utilizan una capa formada por servidores de control que se usan para controlar las botnets de malware que despliegan. Por último, tienen una capa de proxies que usan los servidores de control para esconderse de los objetivos infectados.

Los investigadores identificaron con más facilidad su tráfico que si hubieran usado uno comercial

Lo que más llamó la atención de todas estas capas es que el grupo opera con su propio VPN privado en lugar de usar servidores VPN comerciales. Al usar un VPN comercial, nos estamos juntando con otros usuarios y con su tráfico, de manera que es muy difícil de identificar. El problema es que los VPN comerciales pueden ceder datos a las autoridades de Estados Unidos si éstos se los piden.

Configurar un VPN privado en cualquier parte del mundo es fácil, ya que sólo hay que alquilar unos servidores en un centro de datos y usar software open source como OpenVPN. Por ello, el VPN que usan los hackers de Irán tiene servidores y nodos de salida repartidos por todo el mundo, pero eso sigue siendo inútil para evitar que los identifiquen.

Hay dos motivos para ello. El primero es que el número de direcciones IP es muchísimo más limitado, ya que sólo tenían que buscar unas pocas direcciones en comparación con un VPN comercial. Una vez han identificado que un nodo de salida está siendo usado por un actor en concreto, tienen un alto nivel de confianza para atribuir las conexiones que salen de ese nodo. En la siguiente imagen podemos ver algunas de las IPs que usaron.

Además, también pueden identificar con facilidad el tipo de tráfico que generan, donde por ejemplo detectaron algunas IP monitorizando redes relacionadas con cadenas de suministro de la industria petrolera.