«Cazar o ser cazado». Ilya Sachkov resume así la filosofía actual en la lucha contra los cibercriminales. Es el fundador de Group-IB, el conglomerado de seguridad informática responsable del informe titulado ‘Tendencias criminales en la alta tecnología 2019-2020’.
Ilya tiene 33 años, elegante, trajes a medida y dominio escénico. Este informático ruso trabaja con Europol e Interpol: 60 criminales detenidos, un millar de investigaciones exitosas, 300 millones recuperados. Pero queda mucho por hacer.
«Si 2017 fue el año de las epidemia de WannaCry, 2019 se ha convertido en el año de operaciones militares encubiertas en el ciberespacio«, apunta su socio Dmitry Volkov con voz ronca. Hay un auditorio abarrotado en un rascacielos de Singapur escuchándolos en absoluto silencio. Escucha atento hasta el director de cibercrimen de la Interpol.
En su investigación, hablan de 38 grupos de hackers auspiciados por estados, de los cuales siete son nuevos. Se confirma el ‘balón de oro’ a Lazarus, el grupo norcoreano que ya va más allá de los robos a bancos: más de 700 millones de euros esquilmados en el último lustro. «En 2019, Lazarus atacó a una organización nuclear en India, lo que probablemente llevó a que se cerrara la segunda unidad de la central. La elección atípica de la víctima indica que departamentos militares de países rivales habría estado interesados en estos ataques», según Group-IB.
NUEVA ERA EN LA CIBERGUERRA
También asegura que hemos entrado en una nueva fase en la ciberguerra… «En mayo de 2019, piratas informáticos de Hamas intentaron llevar a cabo un ciberataque contra Israel… Para contrarrestarlos, este país lanzó un ataque aéreo contra un edificio en la Franja de Gaza, donde se creía que los hackers estarían ubicados», recoge el informe como uno de los episodios trascendentales en los últimos 12 meses. Es decir, un ataque en la Red respondido con fuego real. Y viceversa.
En junio de este año, la Guardia Revolucionaria de Irán hizo ataques selectivos. Uno de ellos derribó un dron norteamericano. La respuesta del Gobierno de Trump fue «tomar represalias, días después, lanzando una ofensiva informática contra los sistemas de control de misiles iraníes».
Recoge también la polémica declaración de un ministro de Maduro cuando dijo que el apagón sufrido por 22 de los 23 estados de Venezuela había sido fruto de «un ciberataque contra el sistema de control automatizado» del sistema eléctrico. A pesar de que hasta Forbes ha insinuado sobre esta posibilidad, no hay suficientes pruebas para confirmarlo.
LOS NUEVOS HACKERS: COLOMBIANOS, KENIATAS…
Otros que siguen mandando en los cibercrimenes son los ‘Tres grandes de Rusia’: Cobalt, MoneyTaker y Silence. Entre los nuevos actores en el escenario global destacan dos peculiares grupos: los keniatas autodenominados SilentCards. Operando únicamente en África -con malware alquilado y apenas modificado- habrían robado 150 millones a prestamistas de la región, como ha estimado Radio France International. Y esquilmado 3,5 millones a un solo banco.
También ha llamado la atención la expansión de un grupo de hackers que hablan español, los colombianos de APT-C-36. «También conocido como Blind Eagle se dio a conocer a fines de 2018. Su objetivo es robar secretos de las principales empresas y agencias gubernamentales; Su principal vector de infección son los correos electrónicos maliciosos».
Los malware denominados caballos de Troya o troyanos -por su carácter de estar camuflados hasta el momento del ataque- siguen siendo la mayor amenaza para los clientes de entidades bancarias. Estos se apropian de la identidad de usuarios y sus contraseñas para vaciar sus cuentas.
Cuando parecía que esta tendencia iba hacia abajo en los ordenadores, de nuevo «se ha intensificado. La lista de objetivos no ha cambiado. Y se centran principalmente en 18 países: Australia, Austria, Bulgaria, Brasil, Reino Unido, Alemania, España, Italia, Canadá, Países Bajos, Noruega, Polonia, Rusia, Estados Unidos, Ucrania, Francia, Suiza y Japón».
Hacen la lista de los troyanos utilizados para ataques masivos en España. Estos son: BackSwap, Qbot, Trickbot, Gootkit, Dridex y Loki PWS. «Todos éstos son fácilmente reconocibles, excepto BackSwap, que es relativamente nuevo. Durante el año pasado, este troyano comenzó a atacar a clientes bancarios, primero polacos, luego españoles«. Este troyano es quizás la mayor amenaza cibernética al sistema financiero español. Su modus operandi: detecta el acceso a una entidad bancaria, copia la información que se está tecleando y la reenvía al creador del malware.
Han crecido aún más, exponencialmente, los troyanos de Android, es decir los que afectan a los smartphones que utilizan este sistema operativo. La mayoría crean falsas ventanas en nuestros móviles que se parecen a la de nuestros bancos. O, cuando accedemos a nuestros bancos, envían la información que colocamos en las ventanas a los programadores. Y, cuando este reenvía un mensaje de texto con la confirmación necesaria para realizar la operación, a esta información también tiene acceso el hacker. Los que están actuando en España se dividen en dos clases. Los que llaman los ‘antiguos’, fácilmente controlables, como Red Alert, Anubis y Loki v2. Y los ‘nuevos’: CometBot, Cerberus y Exobot Compact.
‘MALWARE’ EN ALQUILER
También se revela el precio que cuesta alquilar estos troyanos para móviles. Sí, hay un mercado negro de renta de virus y gusanos que se usan para atacar cuentas bancarias. El novísimo Cerberus, que se hizo público en 2019, su programador lo alquila por 1.800 euros al mes y, eso sí, tiene una restricción particular. No se puede utilizar en ningún país que formara parte de la antigua Unión Soviética. Este mismo requisito se aplica para Exobot Compact que se arrienda por 1.300 euros.
«CometBot apareció en foros de piratería en febrero de 2019, cuando un usuario con el apodo SickHavana realizó una publicación sobre el alquiler de nuevo malware… Funciona en las más recientes versiones de Android. La oferta solo incluía falsificaciones web preparadas para bancos alemanes y un banco español, con la posibilidad de atacar a bancos en otras regiones», describen los Group-IB. Alquilarlo cuesta sólo 650 euros.
Ilya Sachkov pasea por Singapur, el país más seguro del mundo, donde ha mudado a su organización para estar más cerca de la sede de Cibercrimen de Interpol. Apunta que «si los cibercrimenes no tienen fronteras, tampoco lo debe tener la ciberseguridad«. Hace un ejercicio de ‘prestidigitación cibernética’ para acabar. Llama a un colaborador desde su móvil. Con un programa informático, que clona números de teléfonos, logra que le aparezca el número de su oficina en la pantalla. Como podría aparecer el número de su hijo, o de su mujer… Ideal para extorsiones informáticas. «Esto es muy básico. No es para generar paranoia, es para saber el mundo en que vivimos».