El mismo día en que Estados Unidos desmantela una inmensa red de bots (botnet), la Agencia de la Unión Europea para la Cooperación Policial, o Europol (como mejor se le conoce por su acrónimo del nombre en inglés) concluye una de las mayores operaciones de ciberseguridad jamás realizadas, con la detención de cuatro personas (tres ciudadanos ucranianos y un armenio), y el cierre de más de 100 servidores repartidos por Europa y Norteamérica.
Conocida como “Endgame”, se llevó a cabo entre el 27 y 29 de mayo y fue descrita como “la mayor operación jamás realizada contra las botnets, que desempeñan un papel clave en la propagación del ransomware”.
Estados Unidos asegura que un ciudadano chino operaba la botnet “911 S5”, que se valía de computadoras de todo el mundo para explotar miles de solicitudes fraudulentas a programas de ayuda por la pandemia, así como para distribuir contenido explícito de menores, entre otros delitos.
La Operación “Endgame” para combatir el ransomware
Iniciada y dirigida por Francia, Alemania y los Países Bajos en el cuartel general de la Europol, la Operación Endgame contó también con la participación de la Eurojust, la agencia de la Unión Europea para la Cooperación Judicial Penal, y organismos policiales de Reino Unido, Dinamarca y Estados Unidos, con el fin de desarticular la infraestructura delictiva que llevaba a cabo ataques de ransomware en todo el mundo.
Otras naciones como Armenia, Bulgaria, Lituania, Portugal, Rumania, Suiza y Ucrania también brindaron su ayuda mediante acciones que van desde detenciones e interrogatorios de sospechosos, hasta registros e incautaciones o derribos de servidores y dominios. Además, colaboraron socios privados a nivel nacional e internacional, como Bitdefender, Cryptolaemus, Sekoia, Shadowserver, Team Cymru, Prodaft, Proofpoint, NFIR, Computest, Northwave, Fox-IT, HaveIBeenPwned, Spamhaus, DIVD, abuse.ch y Zscaler.
De acuerdo con la agencia, “las acciones se centraron en interrumpir los servicios delictivos mediante la detención de objetivos de alto valor, la destrucción de la infraestructura criminal y el congelamiento de las ganancias ilícitas. Este enfoque tuvo un impacto global en el ecosistema de droppers” como IcedID, SystemBC, Pikabot, Smokeloader, Bumblebee y Trickbot.
En concreto, los droppers no son más que software malicioso (malware) que permite a los ciberdelincuentes saltarse las medidas de seguridad de los dispositivos, para instalar en ellos virus, ransomware o spyware con total tranquilidad. De este modo, los ciberdelincuentes consiguen apoderarse de los datos confidenciales de las víctimas, a las que posteriormente chantajean a su antojo. Como menciona la Europol, “los droppers en sí no suelen causar daños directos, pero son esenciales para acceder e implantar programas dañinos en los sistemas afectados”.
Se trata de estrategia de ataque que causó grandes pérdidas económicas a las víctimas y, por otra parte, enormes ganancias a los delincuentes. Según Europol, por ejemplo, uno de los principales sospechosos de la Operación Endgame “ganó al menos 69 millones de euros en criptomonedas alquilando sitios que distribuían ransomware”.
Y es probable que todavía queden por ahí personas que hayan ganado dinero creando redes de bots, pero que todavía no acaban en manos de las autoridades. De hecho, el comunicado oficial de Europol destaca que “tras los días de operativo, ocho prófugos relacionados con estas actividades criminales, que Alemania reclama, se incorporarán a la lista de los más buscados de Europa. Los individuos son perseguidos por su implicación en graves actividades de ciberdelincuencia”.
Hasta el momento, como enlista en su sitio web la Europol, los resultados de las acciones coordinadas de la Operación Endgame se traducen en:
- 4 detenciones (1 en Armenia y 3 en Ucrania).
- 16 registros de ubicaciones (1 en Armenia, 1 en los Países Bajos, 3 en Portugal y 11 en Ucrania).
- Más de 100 servidores caídos o interrumpidos en Alemania, Bulgaria, Canadá, Estados Unidos, Lituania, Países Bajos, Reino Unido, Rumania, Suiza y Ucrania.
- Más de 2,000 dominios bajo control policial.
Pero la Operación Endgame sigue en curso, lo que significa que la infraestructura delictiva que se ha cobrado miles de víctimas en todo el mundo quizá reciba pronto otro golpe de la Europol y de las fuerzas de seguridad.
Artículo publicado originalmente en WIRED Italia. Adaptado por Andrei Osornio.
Los especialistas en ciberseguridad recomiendan a los clientes de Ticketmaster cambiar sus contraseñas, revisar sus cuentas bancarias y reportar correos electrónicos, mensajes de texto y llamadas de seguimiento sospechosos.