EE. UU. y sus socios desmantelan la notoria red de piratería 'Qakbot'
Una operación internacional encabezada por el FBI, llamada Duck Hunt, desmanteló la botnet Qakbot, que según la fiscalía estadounidense había infectado a más de 700.000 computadoras. El FBI redirigió el tráfico de la red a servidores propios para desinstalar el malware de los equipos de las víctimas.
El 29 de agosto, autoridades de Estados Unidos anunciaron que una operación internacional había desmantelado Qakbot, una de las plataformas de malware más usadas por ciberdelincuentes para delitos financieros. La operación, llamada Duck Hunt, la lideró el FBI junto a Francia, Alemania, Países Bajos, Gran Bretaña, Rumania y Letonia. Según la información de Reuters, Qakbot llevaba más de una década activo, se distribuía sobre todo por correos maliciosos y había atacado organizaciones de todo el mundo, desde Alemania hasta Argentina. Investigadores de seguridad creen que se originó en Rusia.
El tamaño de la red
El fiscal Martin Estrada calificó la acción como la operación tecnológica y financiera más importante que el Departamento de Justicia haya liderado contra una botnet. Las cifras que dio lo explican: más de 700.000 computadoras infectadas, despliegues de ransomware facilitados por la red y daños por cientos de millones de dólares a empresas, proveedores de salud y agencias de gobierno.
Los investigadores también siguieron el dinero. Entre octubre de 2021 y abril de 2023, los administradores de Qakbot recibieron comisiones por unos 58 millones de dólares en rescates pagados por víctimas. Ese dato muestra el papel de Qakbot en el negocio: no era el ransomware en sí, sino la puerta de entrada que otros grupos usaban para llegar a sus objetivos, y cobraba por ese acceso.
El director del FBI, Christopher Wray, describió víctimas que iban desde instituciones financieras de la costa este hasta un contratista gubernamental de infraestructura crítica en el medio oeste y un fabricante de dispositivos médicos en la costa oeste.
Cómo la desactivaron
Además de incautar 52 servidores en Estados Unidos y otros países, el FBI tomó control del canal de comunicación de la botnet. Redirigió el tráfico de Qakbot hacia servidores de la agencia, y desde ahí se desinstaló el malware de las computadoras infectadas. Según el FBI, eliminó los archivos maliciosos de sistemas privados sin ver ni recopilar información personal.
La diferencia con una incautación clásica es importante. Apagar los servidores deja los equipos infectados a la espera de una nueva infraestructura; quitar el malware de cada máquina corta la red de raíz. Estrada lo resumió así: «Juntos hemos derribado Qakbot y salvado a innumerables víctimas de futuros ataques».
Por qué importa y qué hacer
Los cargadores como Qakbot son el primer eslabón de muchos incidentes de ransomware, así que su caída corta el acceso a miles de redes de una sola vez. Pero la desinstalación remota solo elimina el malware: no revierte credenciales robadas, accesos ya vendidos ni puertas traseras que otros grupos hayan dejado mientras el equipo estuvo infectado. Que Argentina aparezca entre los países atacados confirma que la región estaba dentro de su alcance, y una organización que tuvo infecciones de Qakbot debería tratarlas como un posible compromiso de red, no como un caso cerrado.
- Revisa los registros de tu EDR y tu correo en busca de detecciones de Qakbot o QakBot en los meses previos al desmantelamiento.
- Restablece las contraseñas y sesiones de los usuarios cuyos equipos estuvieron infectados.
- Busca en esos equipos herramientas de acceso remoto o cuentas nuevas que no hayan sido creadas por TI.
- Bloquea en el filtro de correo los adjuntos comprimidos y documentos con macros provenientes de remitentes externos.
- Mantén respaldos fuera de línea probados, porque el acceso inicial de un cargador suele terminar en ransomware.
Relacionado:
Malware Yoba oculta un minero de criptomonedas tras binarios de OpenAI y Anthropic
Extensión de Anthropic en Cursor comprometida por puerta trasera
PHP2Shell: Millones de ataques, pero sin ejecuciones exitosas confirmadas
Nota elaborada por Ciberseguridad en español a partir de información publicada por Reuters. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.
Comentarios
Publicar un comentario