La Unidad de Crímenes Digitales de Microsoft -Digital Crimes Unit (DCU)- ha tomado medidas legales y técnicas para desarticular una red de bots delictiva llamada ZLoader. Esta red, dirigida por un grupo de crimen organizado que opera en todo el mundo a través de Internet, utilizaba la técnica de malware como servicio para robar datos y extorsionar, infectando los dispositivos informáticos de empresas, hospitales, colegios y usuarios particulares.
Microsoft ha obtenido una orden judicial del Tribunal de Distrito de los Estados Unidos para el Distrito Norte de Georgia, que le ha permitido tomar el control de 65 dominios que el grupo criminal de ZLoader usaba para crecer, controlar y comunicarse con su red de bots. Estos dominios han sido redirigidos a un sinkhole de Microsoft, de forma que no puedan seguir siendo utilizados por los cibercriminales para desarrollar su actividad delictiva.
ZLoader contiene un algoritmo de generación de dominios (DGA) incrustado en el malware que crea otros adicionales como canal de comunicación de reserva para la red de bots, por lo que además de los dominios cifrados, Microsoft ha podido tomar el control de otros 319 dominios DGA actualmente registrados. También se está trabajando para bloquear un previsible futuro registro de dominios generados por el algoritmo malicioso.
Los ciberdelincuentes utilizaban una red de bots y la técnica de malware como servicio dirigido a empresas, hospitales, colegios y usuarios particulares
Los ciberdelincuentes pierden el anonimato
Durante la investigación, Microsoft identificó a uno de los responsables de crear un componente utilizado en la red de bots ZLoader para distribuir ransomware. Su nombre es Denis Malikov y reside en la ciudad de Simferopol, en la península de Crimea.
Microsoft ha decidido hacer pública su identidad y su relación con este caso para dejar claro que no se permitirá a los ciberdelincuentes esconderse tras el anonimato de Internet para cometer sus delitos. La acción legal desarrollada hoy es el resultado de meses de investigación, anteriores al actual conflicto en la región.
En un primer momento, el objetivo principal de ZLoader era el robo financiero, mediante la sustracción de IDs de inicio de sesión, contraseñas y otros datos destinados a sustraer el dinero de las cuentas de las víctimas. ZLoader incluía un componente que deshabilitaba un conocido software de seguridad y antivirus, impidiendo así que las víctimas detectaran la infección. Con el tiempo, los ciberdelincuentes comenzaron a utilizar la técnica de malware como servicio para distribuir ransomware peligroso como Ryuk, conocido por dirigirse a instituciones sanitarias con el fin de extorsionar a las mismas, sin tener en cuenta que dichas acciones ponen en riesgo grave la vida de muchos pacientes.
“La red cibercriminal se esforzará por reactivar las operaciones de ZLoader. Hemos remitido este caso a las autoridades y lo estamos siguiendo de cerca. Continuaremos trabajando con nuestros socios para vigilar el comportamiento de estos ciberdelincuentes, así como con los proveedores de servicios de Internet (ISP) para identificar y dar soluciones a las víctimas”, señala Amy Hogan-Burney, General Manager of the Digital Crimes Unit/Associate General Counse en Microsoft. “Estamos dispuestos, como de costumbre, a tomar medidas legales y técnicas adicionales para hacer frente a ZLoader y otras redes de bots”.
