¿Qué ha pasado?
La Oficina Federal Alemana de Seguridad de la Información (BSI) ha confirmado a través de Mastodon que la campaña de ataque "TerminalFix" fue el punto de entrada del ciberataque contra las administraciones del Senado de Berlín. Se vieron afectadas las administraciones senatoriales de Desarrollo Urbano, Construcción y Vivienda, así como la de Movilidad, Transporte, Medio Ambiente y Protección Climática. El ataque se dio a conocer a mediados de agosto de 2026 y provocó una masiva filtración de datos, algunos de ellos críticos. Según informes de Der Spiegel, detrás del ataque se encuentra la conocida banda de ransomware Rhysida.
Los detalles
La cronología del incidente revela la magnitud de la crisis: ya entre el 7 y el 12 de agosto de 2026 los atacantes extrajeron datos, aunque el ataque en sí comenzó considerablemente antes. El 14 de agosto, las administraciones senatoriales afectadas fueron aisladas de la red estatal; tres días después, la Cancillería del Senado informó públicamente sobre un "incidente de TIC en la red estatal de Berlín" y estableció un comité de crisis de emergencia. La Oficina Federal de Policía Criminal (BKA) y la Oficina Estatal de Policía Criminal (LKA) iniciaron las investigaciones.
Las consecuencias también fueron palpables para los ciudadanos: el 21 de agosto surgieron problemas con los pagos de prestaciones sociales, entre ellos la imposibilidad de abonar el subsidio de vivienda a 50.000 hogares con derecho a percibirlo en Berlín. No fue hasta el 24 de agosto que todas las partes de la administración senatorial volvieron a estar conectadas a la red. El 28 de agosto se confirmó que los atacantes habían sustraído datos y presentaron una demanda de rescate; el alcalde gobernante Kai Wegner declaró que el estado de Berlín no cedería al chantaje. En el sitio de la dark web de Rhysida apareció una exigencia de 30 bitcoines, equivalentes a unos 2 millones de euros, acompañada de supuestos extractos de datos, incluidas listas de contraseñas en texto plano, documentos judiciales y más de 46.500 contratos del estado.
El 4 de septiembre, los delincuentes finalmente publicaron alrededor de 1,44 millones de archivos en la dark web, entre ellos documentos de personal, información sobre procedimientos disciplinarios, documentos financieros y detalles sobre la infraestructura crítica de Berlín. El BSI advirtió entonces, el 5 de septiembre, de una "amenaza elevada" para la sociedad.
Desarrollo técnico de TerminalFix
Según Microsoft, TerminalFix es una variante de la campaña de malware "ClickFix", conocida desde febrero de 2026. Se induce a los usuarios a abrir la Terminal de Windows; a diferencia de ClickFix, que usa la combinación de teclas [Windows]+[R], TerminalFix emplea la ruta [Windows]+[X] y después [I] para acceder directamente a PowerShell.
A través de PowerShell se ejecuta un comando malicioso que el propio usuario debe pegar desde el portapapeles. Llega allí porque un sitio web manipulado lo ha copiado automáticamente mediante JavaScript. Estos sitios simulan un falso captcha de Cloudflare, una técnica de ingeniería social que aprovecha que los captchas reales de Cloudflare ya requieren de por sí distintas acciones del usuario, de modo que las pulsaciones de teclado inusuales no llaman la atención de inmediato.
El comando ejecutado descarga en segundo plano, mediante un script, el primer malware, mientras el sitio web manipulado distrae al usuario con el falso captcha. En este proceso se abusa, entre otras cosas, del archivo legítimo y firmado de Windows "LockScreenContentServer.exe" para instalar mediante sideloading el archivo "dui70.dll". Este, a su vez, descarga archivos de imagen PNG en los que se ocultan más programas maliciosos mediante esteganografía.
El malware se instala posteriormente de forma permanente a través de claves de registro, comprueba su propio estado cada hora y espera nuevas instrucciones de los atacantes. Además, se configura un proxy SOCKS que proporciona a los atacantes un túnel hacia la red de la organización afectada. Los archivos y directorios se ocultan en el Explorador de Windows para dificultar su detección.
Análisis
Especialmente delicado: al parecer, en las autoridades de Berlín las contraseñas se gestionaban en texto plano, lo que, según el informe, facilitó considerablemente la labor de Rhysida. Sigue sin aclararse cómo lograron finalmente los atacantes acceder a prácticamente la totalidad de los datos de ambas administraciones senatoriales.
Las administraciones públicas se consideran objetivos especialmente vulnerables, ya que nombres, direcciones de correo electrónico y estructuras de personal suelen ser en parte de acceso público, un terreno ideal para la ingeniería social. Este tipo de ataques también se denomina "watering hole", ya que los sitios web manipulados se colocan en lugares donde las víctimas suelen estar presentes, por ejemplo a través de correos de phishing, enlaces en redes sociales o publicaciones en foros. Incluso si un intento solo tiene éxito tras muchos esfuerzos, el gasto resulta rentable ante una demanda de rescate de unos 2 millones de euros.
El BSI también hace referencia a un proveedor externo no especificado, según el cual Rhysida cumple efectivamente su amenaza de publicación en el 92 % de los casos en que la emite. El grupo se centra principalmente en los sectores sanitario y educativo, pero las administraciones públicas también se encuentran entre los cinco tipos de objetivos más mencionados.
Advertencia sobre daños colaterales
El portavoz del Chaos Computer Club (CCC), Joachim Selzer, ya advirtió el 30 de agosto sobre posibles casos de robo de identidad y nuevos intentos de fraude. Además, los ciudadanos cuyos datos personales pudieran estar incluidos en el conjunto de datos publicado podrían convertirse fácilmente en víctimas de intentos de extorsión.
Consejos prácticos
- Se debe capacitar al personal para que cuestione de forma crítica las solicitudes sospechosas de uso de la Terminal, PowerShell o el cuadro de diálogo Ejecutar, especialmente cuando aparecen en el contexto de un captcha o una verificación.
- Las contraseñas no deben almacenarse jamás en texto plano; el uso de gestores de contraseñas con cifrado es obligatorio.
- La revisión periódica de las entradas del registro y del tráfico de red inusual (como las conexiones de proxy SOCKS) puede ayudar a detectar malware persistente a tiempo.
- Dado que los archivos legítimos y firmados de Windows pueden utilizarse indebidamente para sideloading, resulta útil contar con soluciones de detección en endpoints que también supervisen el comportamiento del software firmado.
- Las autoridades y organizaciones deben aislar sus sistemas de forma coherente en caso de emergencia, como ocurrió en el caso de Berlín, y comunicar con transparencia tanto interna como externamente.
Perspectivas
El estado de Berlín ha creado entretanto una "unidad de coordinación" a través de la cual se contactará por correo electrónico y carta a las personas afectadas por la filtración. Al mismo tiempo, según la administración senatorial, se está realizando una revisión "las 24 horas" de los aproximadamente 12.000 sistemas del estado. Cómo lograron exactamente los atacantes acceder a prácticamente la totalidad de los datos de ambas administraciones sigue siendo objeto de las investigaciones de la BKA y la LKA. El esclarecimiento de este punto resultará probablemente decisivo para evitar en el futuro ataques similares contra otras autoridades. Dada la "amenaza elevada" declarada por el BSI, cabe esperar que sigan conociéndose más detalles sobre el incidente y sobre las actividades de Rhysida.
