Durante la semana pasada, dos fallas críticas en PHP, un lenguaje de programación que usan millones de páginas web en todo el mundo, pusieron a los equipos de seguridad a trabajar contra reloj. Como esa tecnología también sostiene numerosos sitios gubernamentales, los equipos de respuesta a incidentes informáticos, conocidos como CERT, comenzaron a distribuir alertas. Y en Argentina, casi la mitad de los organismos potencialmente afectados respondió al CERT nacional.
El excoordinador de la entidad, Ariel Cessario, explicó a Clarín que argentina.gob.ar y los ministerios de Salud y Economía, entre otros, aplicaron las medidas que les recomendaron, a partir de un intercambio que incluyó correos de actualización, reuniones y contactos con agencias de Estados Unidos, Europa y la de Chile.
“PHP es un lenguaje de programación que se utiliza para crear los sitios web por los cuales navegamos todos los días. A pesar de que puede ser un absoluto desconocido para la mayoría de los ciudadanos no técnicos, fue creado hace tres décadas y su uso es tan extensivo y masivo que sostiene aproximadamente el 70% de las páginas web del mundo”, explica a este medio Cristian Borghello, especialista en ciberseguridad y autor del sitio Segu-info, con amplia experiencia en mantenimiento de sistemas y actualizaciones de seguridad.
Este lenguaje funciona en los servidores que hacen andar las páginas, donde estas fallas pueden permitir que un intruso ejecute instrucciones desde internet sin necesitar una cuenta ni conocer una contraseña.
«Los delincuentes pueden aprovechar dichos errores para ingresar a sistemas críticos, robar datos personales, fiscales, administrativos y explotar esas debilidades en Infraestructuras Críticas como telecomunicaciones, transporte, luz, agua, energía atómica y un largo etcétera», advierte, en relación a los peligros concretos de este problema, que se bautizó como P2P2Shell.
A nivel estatal, en Argentina, hay un problema serio muy conocido en el ambiente: una falta de un inventario exhaustivo sobre la propia infraestructura digital del estado. Sumado a que muchos de los sistemas son legacy (antiguos), el escenario se complejiza aún más, en tanto se dificulta actualizar con rapidez y conocer qué software utiliza cada dependencia.
La urgencia por actualizar y proteger los sistemas frente a PHP2Shell se da, además, en un momento turbulento para la ciberseguridad nacional: Ariel “Wata” Waissbein presentó el viernes 23 su renuncia al frente del Centro Nacional de Ciberseguridad y Cessario fue despedido el lunes 26 por la noche, en medio de los cambios que atraviesa el área bajo la gestión de Adriana Baravalle, secretaria de Innovación, Ciencia y Tecnología desde agosto.
Al día de hoy, quedaron tres personas en el CERT de Argentina, mientras PHP2Shell sigue siendo un problema de envergadura nacional.
Las webs del Estado y la respuesta del CERT
Argentina.gob.ar es el portal que reúne las páginas institucionales de los organismos nacionales, con información sobre sus autoridades, servicios y trámites, y está construido sobre Drupal, una plataforma para publicar contenidos que funciona con PHP. Allí puede estar, por ejemplo, la presentación de ARCA, mientras que el sistema para ingresar y hacer gestiones tributarias funciona por separado.
También hay servicios diferenciados, como Mi Argentina, Trámites a Distancia y GDE, que pueden utilizar otros servidores y tecnologías, de modo que proteger el sitio gob.ar no equivale a cubrir toda la infraestructura digital del Estado (de hecho, parte de esos servicios mencionados no corre en PHP, por lo que no serían vulnerables a P2P2Shell).
Cuando el martes 20 los responsables de PHP publicaron su advertencia, el CERT argentino ya había comenzado a avisar a sus contactos. La información había llegado el lunes por la noche a través de vínculos personales que Cessario había construido con otros equipos de seguridad y que permitieron anticiparse al anuncio público.
“El lunes a la noche automáticamente lo distribuimos a toda nuestra comunidad, que es todo el sector público nacional”, recuerda. Para entonces todavía no había una actualización pública que instalar, de modo que las primeras recomendaciones apuntaron a la mitigación: reducir las posibilidades de que un atacante aprovechara la falla mientras se preparaba una solución (desenchufar sistemas, en criollo).
“Actualizar el software subyacente demanda pruebas de compatibilidad, ventanas de mantenimiento y reinicio de servicios, lo que suele demorar la aplicación efectiva de los parches”, explica Aamir Lakhani, estratega global de seguridad e investigador de Fortinet, un proveedor de servicios de ciberseguridad muy contratado en Argentina. Eso implica probar que las aplicaciones sigan funcionando con la actualización y reservar un horario para los cambios que puedan interrumpir el servicio.
El CERT se comunicó con el responsable del sitio argentina.gob.ar para revisar qué versiones utilizaban y qué recomendaciones y correcciones podían aplicar. “Hasta el jueves todo lo que nosotros les sugerimosellos lo hicieron casi automáticamente”, asegura.
En esa secuencia, argentina.gob.ar, Salud y Economía, entre los ministerios más representativos (y atacados con frecuencia), combinaron las correcciones disponibles con otras medidas para reducir el riesgo y, según Cessario, “aplicaron todas las medidas que se recomendaron desde el CERT”.
La rapidez del contacto con esos organismos tiene una historia previa de incidentes y trabajo compartido. “Son los que más trabajan porque son de los que más atacados están. Entonces siempre tuvimos una relación muy cercana y muy dinámica en eso. Nuestros canales de comunicación con ellos siempre fueron extremadamente rápidos”, señala.
Su confirmación se refiere al trabajo que coordinó con esos equipos hasta el jueves 22. Sobre los demás organismos mantiene una salvedad: “Es una gran incógnita, pero yo sé que muchos sí lo hicieron. Lo que pasa es que no los puedo confirmar”, asegura.
Sistemas antiguos y falta de personal en las webs del Estado
Una parte de esa incertidumbre se explica por cómo está organizada la infraestructura pública. La terminación gob.ar reúne sitios nacionales, provinciales y municipales que pueden tener tecnologías, servidores y responsables diferentes, mientras que argentina.gob.ar es un portal específico que concentra información de organismos nacionales, autoridades, servicios y trámites. El sitio de Borghello, Segu-Info, identificó más de 35 mil sitios de gob.ar potencialmente afectados (ver).
La falta de un registro integral también dificulta reconstruir qué quedó protegido después de una emergencia: “No tienen visibilidad de lo que hay abajo, la parte importante del trabajo del CERT era justamente hacer el inventario de activos”. “No se puede proteger lo que no se conoce” es una máxima de la ciberseguridad.
El relevamiento que publicó Borghello en Segu-info ofrece una fotografía parcial de ese universo. En el corte del 29 de octubre a las 13.53, había analizado 13.977 sitios de un inventario de 35.847 y encontrado señales de PHP en 4.758, el 34% de los analizados. En 2.354 casos pudo confirmar su uso mediante evidencia explícita; en otros 2.404 lo dedujo por las aplicaciones detectadas, una magnitud que Cessario, consultado por Clarín, consideró razonable. La cifra indica el uso de esa tecnología y debe leerse con ese alcance: no identifica cuántos sitios son vulnerables ni cuántos sufrieron un ataque.
Entre unos 2.350 sitios que permitían identificar una versión, el 47% correspondía a PHP 4, 5 o 7, familias que ya no reciben mantenimiento oficial, y otro 9% utilizaba PHP 8.0 o 8.1, también fuera de soporte. Como la observación se hizo desde afuera, los resultados requieren una comprobación con los responsables de cada sistema.
Cessario contó que en el sector público nacional predominan las versiones 7 y 8, y que el salto entre ambas puede complicarse cuando una aplicación antigua depende de funciones que cambiaron en las versiones nuevas del lenguaje. En esos casos, una migración puede obligar a adaptar el programa y probarlo antes de ponerlo en funcionamiento, un trabajo que necesita personal, presupuesto y conocimiento de cómo fue construido.
“Pasar de la siete a la ocho ya no es trivial. No podés agarrar y hacerlo con dos mangos porque tenés que hacer todo un testeo completo de lo que es la base de ese código para que vos lo puedas migrar a ocho, saber cuáles son las cosas que rompen, cómo va a cambiar la lógica”, explica Cessario.
Borghello incluye entre las razones para sostener versiones antiguas “la complejidad y tamaño de los sistemas y datos almacenados, la distribución geográfica nacional o la obsolescencia de otras tecnologías relacionadas (como los servidores)”. A esas dificultades técnicas agrega “la negligencia y la falta de decisión política”, junto con la falta de presupuesto, personal y conocimientos de ciberseguridad, según su crítica a los sistemas del Estado.
Durante la respuesta a PHP, el CERT tenía cuatro integrantes, según Cessario, por lo que la coordinación con los equipos de cada organismo era fundamental. “Nosotros no podemos ir por organismos ayudando porque no tenemos la capacidad. Éramos cuatro nada más. Ahora son tres encima los chicos”, explica (por su despido), y describe “dos niveles de reacción”: cuestiona a parte de la conducción y destaca que “los que trabajaron fueron los técnicos”, aunque aclara que algunos subsecretarios y directores nacionales sí se ocuparon.
Así, las salidas de Cessario y Waissbein se produjeron después de una semana especialmente crítica, en la que la emergencia de PHP conmocionó al mundo online por ser una tecnología desconocida por muchos, pero muy presente en muchos sitios oficiales. “Qué mal momento para sacar al titular del CERT por una movida política”, decía una fuente allegada al ambiente técnico y político.
“Se vienen tres o cuatro años de muchos más ataques por la inteligencia artificial”, advierte Cessario, que ve una amenaza en los modelos de IA que podrían aparecer antes de fin de año: “En estos dos meses de acá a fin de año, si salen algunos de los modelos que están proponiendo de IA, vamos a tener un problema grave de ciberseguridad a nivel nacional”, advirtió.
Mientras tanto, se desconoce cuán cubierta está la seguridad de los sitios oficiales de Argentina y qué parte de ella está expuesta a futuros (o, mejor dicho, actuales) ciberataques.
