# Regin (malware)

Regin es un sofisticado malware revelado por Kaspersky Lab y Symantec en noviembre de 2014 cuyos blancos son usuarios específicos de computadoras basadas en Microsoft Windows. Kaspersky Lab dijo que estuvo alerta de Regin desde la primavera de 2012, pero que algunas de las primeras pistas datan del 2003. El nombre Regin se encuentra por primera vez en el website VirusTotal el 9 de marzo de 2011. De las computadoras infectadas por Regin, 28 % están en Rusia, 24 % en Arabia Saudita, 9 % tanto en México como en Irlanda, y 5 % en India, Afganistán, Irán, Bélgica, Austria y Pakistán. Kaspersky Lab fue incapaz de determinar la ruta de ataque y dijo que las víctimas principales son individuos privados, pequeños negocios y compañías de telecomunicaciones. Regin ha sido comparado con Stuxnet y se piensa que fue desarrollado por «equipos de programadores bien financiados», posiblemente un gobierno occidental, como una herramienta dirigida de propósito múltiple para recolección de datos.

## Operación

Regin emplea un enfoque modular que le permite cargar características que encajen perfectamente a su objetivo, permitiendo espionaje a medida. Su diseño lo hace altamente adecuado para operaciones persistentes de vigilancia masiva a largo plazo contra sus blancos.
Regin es sigiloso y no almacena datos en el sistema de archivos de la computadora infectada; en cambio tiene su propio Sistema de Archivos Virtual Encriptado (EVFS) que aparece como un único archivo para el anfitrión, dentro del cual los archivos son identificados por código numérico y no por nombre. El EVFS emplea una variante de encriptación del, rara vez usado, cifrado RC5. Regin se comunica por Internet, usando ICMP/ping, comandos incrustados en HTTP cookies y protocolos personalizados TCP y UDP, con un servidor de comando y control el cual puede controlar operaciones, cargar datos adicionales, etc.

### Identificación y nombrado

Symantec declaró que tanto ellos como Kaspersky identificaron el malware como Backdoor.Regin. El 9 de marzo de 2011 Microsoft agregó a su Malware Encyclopedia artículos relacionados. Más tarde fueron agregadas dos nuevas variantes, Regin.B y Regin.C. Microsoft nombra Prax.A y Prax.B a las variantes de 64 bits de Regin. Los artículos de Microsoft no incluyen ninguna información técnica. Tanto Kaspersky como Symantec publicaron white papers con la información que tienen disponible sobre el malware.

## Ataques conocidos y origen del malware

La revista alemana de noticias Der Spiegel reportó en junio de 2013 que la Agencia de Seguridad Nacional (NSA) de Estados Unidos ha mantenido vigilancia en línea tanto de ciudadanos de la Unión Europea como de instituciones estadounidenses. La información se desprende de documentos secretos obtenidos por el extrabajador de la NSA, Edward Snowden. De acuerdo a un documento secreto de 2010, también fueron atacadas las representaciones diplomáticas en Washington y las Naciones Unidas. El ataque sobre las redes estadounidenses tuvo lugar en los meses anteriores al descubrimiento de Regin.
The Intercept dijo que fuentes de industria de la seguridad, quienes proporcionaron muestras de código de sus investigaciones de los atentados, y sus propios análisis técnicos sugieren que Regin fue la tecnología detrás de los ciberataques conducidos en 2010 por la NSA contra las oficinas de la Unión Europea en Washington D. C. y del Cuartel General de Comunicaciones del Gobierno del Reino Unido en 2013 en contra de Belgacom, la compañía de telecomunicaciones más grande de Bélgica. Estos atentados pueden haber guiado la atención de las compañías de seguridad hacia Regin.