Daniel Rhyne, de 57 años, fue condenado a 32 meses de prisión después de declararse culpable de su participación en un intento fallido de extorsión contra una empresa industrial con sede en Nueva Jersey. Rhyne aprovechó sus antiguos privilegios como ingeniero de infraestructura esencial para acceder de forma remota a la red de la empresa y ejecutar un ataque con un patrón similar al de los ataques de ransomware.
¿Cómo se inutilizó la red?
Entre el 8 y el 25 de noviembre, Rhyne accedió a la red sin autorización utilizando una cuenta administrativa. Según los documentos judiciales, creó tareas programadas que cambiaron la contraseña de la cuenta de administrador a TheFr0zenCrew! y eliminaron 13 cuentas de administradores de dominio; también cambió las contraseñas de 301 cuentas de usuario del dominio por la misma contraseña.
Se añadieron otras tareas para cambiar las contraseñas de dos cuentas administrativas locales a PsPasswd, lo que bloqueó el acceso a 254 servidores. También se cambiaron las contraseñas de otras dos cuentas administrativas, aislando otras 3.284 estaciones de trabajo. Durante varios días de diciembre de 2023, Rhyne apagó servidores y estaciones de trabajo al azar en la red de la empresa.
Solicitud de rescate y amenaza de interrupciones repetidas
El 25 de noviembre, envió a sus compañeros un mensaje con el asunto «Your Network Has Been Penetrated». En él afirmaba que se habían eliminado las copias de seguridad de los servidores para hacer imposible la recuperación de los datos, y exigía a la empresa el pago de 20 bitcoins, unos 750.000 dólares en ese momento. También amenazó con apagar 40 servidores al azar cada día durante diez días si no se pagaba el rescate.
La denuncia penal explica que los administradores de la red comenzaron a recibir, alrededor de las cuatro de la tarde, hora de la costa este, notificaciones para restablecer las contraseñas de una cuenta administrativa del dominio y de cientos de cuentas de usuario. Después descubrieron que se habían eliminado todas las demás cuentas de administradores de dominio, lo que les privó de privilegios administrativos sobre las redes de la empresa.
¿Qué lecciones extraen los equipos de seguridad?
El incidente revela en la práctica la magnitud del daño que puede causar una cuenta interna con amplios privilegios incluso sin el cifrado tradicional de archivos. El ataque se centró en cambiar contraseñas, eliminar cuentas, inutilizar dispositivos y atacar las copias de seguridad, medidas suficientes para paralizar un entorno empresarial e impedir que los equipos de respuesta recuperaran rápidamente el control.
Los investigadores descubrieron que, antes de ejecutar el plan, Rhyne buscó métodos para cambiar las contraseñas de los usuarios del dominio, eliminar cuentas y borrar registros de Windows. También buscó comandos para cambiar contraseñas de administradores de forma local y remota, así como para apagar equipos mediante la línea de comandos. Los detalles de las defensas de la empresa y de los mecanismos de detección de la actividad no se mencionan en el material fuente, por lo que no puede inferirse la eficacia de sus controles ni la razón por la que continuó el acceso no autorizado.
La condena se produce después de que Rhyne fuera detenido en agosto de 2024 y puesto en libertad tras su primera comparecencia ante el tribunal federal. La fuente también informó de una sentencia separada dictada en marzo contra un analista de datos contratado de Carolina del Norte, condenado a dos años de prisión tras ser declarado culpable de extorsionar a su empleador, Brightly Software, por 2,5 millones de dólares.