Teniendo en cuenta este artículo sobre la Operación Aurora, ¿a qué empresas iban dirigidos los ataques?
La Operación Aurora fue una serie de ciberataques llevados a cabo por amenazas persistentes avanzadas como el Grupo Elderwood, con sede en Pekín (China) y vinculado al Ejército Popular de Liberación. Revelados públicamente por primera vez por Google el 12 de enero de 2010, en una entrada de blog, los ataques comenzaron a mediados de 2009 y continuaron hasta diciembre de 2009.

El ataque iba dirigido a docenas de otras organizaciones, de las cuales Adobe Systems, Akamai Technologies, Juniper Networks, y Rackspace han confirmado públicamente que eran el objetivo. Según informes de los medios de comunicación, Yahoo, Symantec, Northrop Grumman, Morgan Stanley, y Dow Chemical también estaban entre los objetivos.

Como consecuencia del ataque, Google declaró en su blog que planea operar una versión completamente no censurada de su motor de búsqueda en China "dentro de la legalidad, si es que es posible", y reconoció que, si esto no es posible, podría abandonar China y cerrar sus oficinas chinas. Fuentes oficiales chinas afirmaron que esto formaba parte de una estrategia desarrollada por el gobierno estadounidense.

El ataque fue bautizado como "Operación Aurora" por Dmitri Alperovitch, Vicepresidente de Investigación de Amenazas de la empresa de ciberseguridad McAfee. La investigación de McAfee Labs descubrió que "Aurora" formaba parte de la ruta del archivo en la máquina del atacante que se incluía en dos de los binarios de malware que, según McAfee, estaban asociados al ataque. "Creemos que el nombre era el nombre interno que el atacante o atacantes dieron a esta operación", dijo el Director de Tecnología de McAfee, George Kurtz, en una entrada de blog.

Según McAfee, el objetivo principal del ataque era obtener acceso y modificar potencialmente los repositorios de código fuente de estas empresas contratistas de alta tecnología, seguridad y defensa. "[Los SCM] estaban totalmente abiertos", dice Alperovitch. "Nadie pensaba en protegerlos, y sin embargo eran las joyas de la corona de la mayoría de estas empresas en muchos sentidos, mucho más valiosas que los datos financieros o de identificación personal que puedan tener y a cuya protección dedican tanto tiempo y esfuerzo".

Historia

Flores dejadas frente a la sede de Google China tras su anuncio de que podría abandonar el país
El 12 de enero de 2010, Google reveló en su blog que había sido víctima de un ciberataque. La empresa declaró que el ataque se produjo a mediados de diciembre y se originó en China. Google declaró que otras 20 empresas habían sido atacadas; otras fuentes han citado desde entonces que más de 34 organizaciones fueron blanco del ataque. Como consecuencia del ataque, Google declaró que estaba revisando sus negocios en China. El mismo día, la Secretaria de Estado de Estados Unidos, Hillary Clinton, emitió una breve declaración en la que condenaba los ataques y solicitaba una respuesta por parte de China.

El 13 de enero de 2010, la agencia de noticias All Headline News informó de que el Congreso de Estados Unidos tiene previsto investigar las acusaciones de Google de que el gobierno chino utilizó el servicio de la empresa para espiar a activistas de derechos humanos.

En Pekín, los visitantes dejaron flores ante la oficina de Google. Sin embargo, más tarde las retiraron, y un guardia de seguridad chino declaró que se trataba de un "homenaje floral ilegal". El gobierno chino aún no ha emitido una respuesta formal, aunque un funcionario anónimo declaró que China estaba buscando más información sobre las intenciones de Google.

Atacantes implicados
Para más información: Ciberguerra china
Las pruebas técnicas, que incluyen direcciones IP, nombres de dominio, firmas de malware y otros factores, demuestran que Elderwood estaba detrás del ataque de la Operación Aurora. El grupo "Elderwood" fue bautizado por Symantec (por una variable del código fuente utilizada por los atacantes), y Dell Secureworks lo denomina "Grupo de Pekín". El grupo obtuvo parte del código fuente de Google, así como acceso a información sobre activistas chinos. Elderwood también atacó a otras numerosas empresas de los sectores naviero, aeronáutico, armamentístico, energético, manufacturero, de ingeniería, electrónico, financiero y de software.

La designación "APT" de los actores de amenazas chinos responsables del ataque a Google es APT17.

Elderwood está especializado en atacar e infiltrarse en proveedores de segundo nivel de la industria de defensa que fabrican componentes electrónicos o mecánicos para las principales empresas de defensa. Esas empresas se convierten entonces en un "trampolín" cibernético para acceder a los contratistas de defensa de primer nivel. Uno de los procedimientos de ataque utilizados por Elderwood consiste en infectar sitios web legítimos frecuentados por empleados de la empresa objetivo, lo que se denomina un ataque de "abrevadero", igual que los leones buscan un abrevadero para su presa. Elderwood infecta estos sitios menos seguros con malware que se descarga en el ordenador que hace clic en el sitio. Después, el grupo busca dentro de la red a la que está conectado el ordenador infectado, encontrando y descargando correos electrónicos de ejecutivos y documentos críticos sobre planes, decisiones, adquisiciones y diseños de productos de la empresa.

Análisis del ataque
En su blog, Google declaró que le habían robado parte de su propiedad intelectual. Sugirió que los atacantes estaban interesados en acceder a cuentas de Gmail de disidentes chinos. Según el Financial Times, dos cuentas utilizadas por Ai Weiwei habían sido atacadas, su contenido leído y copiado; sus cuentas bancarias fueron investigadas por agentes de la seguridad del estado que afirmaron que estaba siendo investigado por "presuntos delitos no especificados". Sin embargo, los atacantes sólo pudieron ver los detalles de dos cuentas y esos detalles se limitaban a cosas como la línea de asunto y la fecha de creación de las cuentas.

Dos días después de que el ataque se hiciera público, McAfee informó de que los atacantes habían explotado supuestas vulnerabilidades de día cero (no corregidas y desconocidas hasta entonces por los desarrolladores del sistema objetivo) en Internet Explorer y bautizó el ataque como "Operación Aurora". Una semana después del informe de McAfee, Microsoft publicó una solución para el problema, y admitió que conocía el agujero de seguridad utilizado desde septiembre. Se encontraron vulnerabilidades adicionales en Perforce, el software de revisión del código fuente utilizado por Google para gestionar su código fuente.

Los Laboratorios iDefense de VeriSign afirmaron que los ataques fueron perpetrados por "agentes del Estado chino o apoderados del mismo".

Según un cable diplomático de la embajada estadounidense en Pekín, una fuente china informó de que el Politburó chino dirigió la intrusión en los sistemas informáticos de Google. El cable sugería que el ataque formaba parte de una campaña coordinada ejecutada por "operativos gubernamentales, expertos en seguridad pública y forajidos de Internet reclutados por el gobierno chino" El informe sugería que formaba parte de una campaña en curso en la que los atacantes han "irrumpido en ordenadores del gobierno estadounidense y de aliados occidentales, del Dalai Lama y de empresas estadounidenses desde 2002." Según el reportaje de The Guardian sobre la filtración, los ataques fueron "orquestados por un alto miembro del Politburó que tecleó su propio nombre en la versión global del motor de búsqueda y encontró artículos que le criticaban personalmente".

Una vez comprometido el sistema de la víctima, una conexión de puerta trasera que se hacía pasar por una conexión SSL estableció conexiones con servidores de mando y control que funcionaban en Illinois, Texas y Taiwán, incluidas máquinas que funcionaban con cuentas de clientes de Rackspace robadas. La máquina de la víctima comenzó entonces a explorar la intranet corporativa protegida de la que formaba parte, buscando otros sistemas vulnerables, así como fuentes de propiedad intelectual, concretamente el contenido de repositorios de código fuente.

Se pensó que los ataques habían terminado definitivamente el 4 de enero, cuando se retiraron los servidores de mando y control, aunque por el momento se desconoce si los atacantes los cerraron intencionadamente o no. Sin embargo, los ataques seguían produciéndose en febrero de 2010.

Respuesta y secuelas
Los gobiernos alemán, australiano y francés advirtieron públicamente a los usuarios de Internet Explorer tras el ataque, aconsejándoles que utilizaran navegadores alternativos al menos hasta que se solucionara el agujero de seguridad Los gobiernos alemán, australiano y francés consideraron que todas las versiones de Internet Explorer eran vulnerables o potencialmente vulnerables.

En un aviso del 14 de enero de 2010, Microsoft afirmó que los atacantes que tenían como objetivo Google y otras empresas estadounidenses utilizaban software que aprovechaba un agujero en Internet Explorer. La vulnerabilidad afecta a las versiones 6, 7 y 8 de Internet Explorer en Windows 7, Vista, Windows XP, Server 2003, Server 2008 R2, así como a IE 6 Service Pack 1 en Windows 2000 Service Pack 4.

El código del exploit de Internet Explorer utilizado en el ataque se ha hecho público y se ha incorporado a la herramienta de pruebas de penetración Metasploit Framework. Se subió una copia del exploit a Wepawet, un servicio de detección y análisis de malware basado en la web operado por el grupo de seguridad informática de la Universidad de California en Santa Bárbara. "La publicación del código del exploit aumenta la posibilidad de que se produzcan ataques generalizados utilizando la vulnerabilidad de Internet Explorer", declaró George Kurtz, Director Técnico de McAfee, sobre el ataque. "El código informático ahora público puede ayudar a los ciberdelincuentes a elaborar ataques que utilicen la vulnerabilidad para comprometer los sistemas Windows".

La empresa de seguridad Websense dijo que había identificado un "uso público limitado" de la vulnerabilidad no parcheada de IE en ataques drive-by contra usuarios que se desviaban hacia sitios Web maliciosos. Según Websense, el código de ataque que detectó es el mismo que el exploit que se hizo público la semana pasada.[Aclaración necesaria] "Los usuarios de Internet Explorer se enfrentan actualmente a un peligro real y presente debido a la revelación pública de la vulnerabilidad y a la publicación del código de ataque, lo que aumenta la posibilidad de ataques generalizados", afirmó George Kurtz, director de tecnología de McAfee, en una actualización de su blog. Confirmando esta especulación, Websense Security Labs identificó el 19 de enero otros sitios que utilizaban el exploit. Según informes de Ahnlab, la segunda URL se difundió a través de la red de mensajería instantánea Misslee Messenger, un cliente de mensajería instantánea muy popular en Corea del Sur.

Los investigadores han creado un código de ataque que aprovecha la vulnerabilidad en Internet Explorer 7 (IE7) e IE8, incluso cuando está activada la medida defensiva recomendada por Microsoft (Prevención de Ejecución de Datos (DEP))[dubious - discuss] Según Dino Dai Zovi, investigador de vulnerabilidades de seguridad, "ni siquiera el IE8 más reciente está a salvo de los ataques si se ejecuta en Windows XP Service Pack 2 (SP2) o anterior, o en Windows Vista RTM (release to manufacturing), la versión que Microsoft distribuyó en enero de 2007".

Microsoft admitió que conocía el agujero de seguridad utilizado desde septiembre. Se dio prioridad al trabajo sobre una actualización y el jueves 21 de enero de 2010, Microsoft publicó un parche de seguridad destinado a contrarrestar este punto débil, los exploits publicados basados en él y varias otras vulnerabilidades de las que se había informado de forma privada. No indicaron si alguno de estos últimos había sido utilizado o publicado por explotadores ni si tenían alguna relación particular con la operación Aurora, pero toda la actualización acumulativa se calificó de crítica para la mayoría de las versiones de Windows, incluido Windows 7.

Los investigadores de seguridad siguieron investigando los ataques. HBGary, una empresa de seguridad, publicó un informe en el que afirmaba haber encontrado algunos marcadores significativos que podrían ayudar a identificar al desarrollador del código. La empresa también afirmó que el código estaba basado en el idioma chino, pero que no podía vincularse específicamente a ninguna entidad gubernamental.

El 19 de febrero de 2010, un experto en seguridad que investigaba el ciberataque a Google, afirmó que las personas que estaban detrás del ataque también eran responsables de los ciberataques realizados a varias empresas de Fortune 100 en el último año y medio. También han rastreado el ataque hasta su punto de origen, que parece ser dos escuelas chinas, la Universidad Jiao Tong de Shanghai y la Escuela Vocacional Lanxiang. Como destacó The New York Times, ambas escuelas tienen vínculos con el motor de búsqueda chino Baidu, rival de Google China. Tanto la Universidad Vocacional Lanxiang como la Universidad Jiaotong han negado la acusación.

En marzo de 2010, Symantec, que estaba ayudando a investigar el ataque para Google, identificó a Shaoxing como la fuente del 21,3% de todos los correos electrónicos maliciosos (12.000 millones) enviados en todo el mundo.

Retrospectiva de Google
El 3 de octubre de 2022, Google publicó en YouTube una serie de seis episodios que cubría los sucesos ocurridos durante la Operación Aurora, con comentarios de personas con información privilegiada que se ocuparon del ataque, aunque el objetivo principal de la serie era tranquilizar al público usuario de Google asegurándole que existen medidas para contrarrestar los intentos de pirateo.
Google, Adobe Systems, Akamai Technologies, Juniper Networks, Rackspace, Yahoo, Symantec, Northrop Grumman, Morgan Stanley y Dow Chemical parecen haber sido objeto de estos ataques.  Algunos lo han confirmado públicamente, mientras que otros han sido declarados objetivos en informes de los medios de comunicación.