Operación del FBI engañó a miles de computadoras infectadas por Qakbot para desinstalar el malware

El FBI y socios de seis países desmantelaron la botnet Qakbot redirigiendo su tráfico a servidores propios que ordenaron a más de 700.000 computadoras infectadas desinstalar el malware. La operación, llamada Duck Hunt, incluyó la incautación de 52 servidores y de más de 8,6 millones de dólares en criptomonedas.

El FBI anunció que había interrumpido y desmantelado Qakbot, una de las botnets más longevas, a la que las autoridades atribuyen daños por cientos de millones de dólares en todo el mundo. La operación identificó más de 700.000 computadoras infectadas, de las cuales más de 200.000 estaban en Estados Unidos, y se hizo junto con fuerzas de seguridad de Francia, Alemania, Países Bajos, Rumania, Letonia y Reino Unido. Washington la describió como su mayor golpe financiero y técnico contra una infraestructura de botnet usada para ransomware y fraude.

Cómo se desinstaló el malware a distancia

La parte técnica es lo más llamativo. El FBI obtuvo acceso legal a la infraestructura de Qakbot y redirigió su tráfico a servidores bajo su control. Desde ahí, esos servidores ordenaron a las computadoras infectadas descargar un desinstalador creado por las propias fuerzas del orden, que las desconectó de la botnet e impidió que Qakbot siguiera instalando malware adicional. La operación se llamó Duck Hunt.

Además de los equipos liberados, el FBI recuperó credenciales robadas, entre direcciones de correo y contraseñas, de más de 6,5 millones de víctimas, y sus socios internacionales identificaron millones más. Se incautaron 52 servidores, con lo que el FBI espera desmantelar la botnet de forma permanente, y el Departamento de Justicia confiscó más de 8,6 millones de dólares en criptomonedas, que quedarán disponibles para las víctimas.

De troyano bancario a puerta de entrada del ransomware

Qakbot, también conocido como QBot o QuakBot, apareció en 2008 como troyano bancario. Se propagaba sobre todo con correos de phishing con enlaces o adjuntos maliciosos; tras el clic, descargaba más malware e incorporaba el equipo a la botnet, controlable a distancia.

Con los años se volvió el acceso inicial preferido de grupos de ransomware como Conti, ProLock, Egregor, REvil, MegaCortex y Black Basta. Según el FBI, esos grupos recibieron cerca de 58 millones de dólares en rescates en los últimos 18 meses y afectaron a más de 40 víctimas, entre ellas proveedores de salud, agencias de gobierno, una empresa de ingeniería eléctrica de Illinois, firmas financieras de Alabama, Kansas y Maryland, un fabricante de defensa de Maryland y una distribuidora de alimentos del sur de California.

El programa Recompensas por la Justicia del Departamento de Estado ofrece hasta 10 millones de dólares por información que permita identificar a los operadores de Qakbot.

Por qué importa y qué hacer

Que la desinfección se haya hecho desde el servidor de comando y control no limpia todo. El desinstalador quitó Qakbot, pero lo que la botnet ya hubiera instalado antes, y las credenciales robadas, siguen siendo un problema para cada víctima. Con 700.000 equipos en el mundo, es razonable que organizaciones de cualquier país tuvieran alguno. Los operadores tampoco fueron identificados, así que pueden reconstruir infraestructura con el mismo modelo de negocio.

• Revisa la telemetría de EDR y proxy para identificar equipos que hayan tenido Qakbot, y analiza qué otros binarios se ejecutaron en ellos.
• Rota las contraseñas de las cuentas usadas en equipos que estuvieron infectados, empezando por las privilegiadas.
• Bloquea en la pasarela de correo los adjuntos y enlaces maliciosos típicos del phishing que distribuía Qakbot, y refuerza el filtrado de adjuntos ejecutables.
• Busca accesos remotos o cuentas nuevas creadas en el periodo en que Qakbot estuvo activo en tu red, señal de un posible acceso entregado a un grupo de ransomware.

Relacionado:
Malware Yoba oculta un minero de criptomonedas tras binarios de OpenAI y Anthropic
Hackers chinos usan un día cero de VMware ESX y vulnerabilidades en firewalls
Atacantes calientan refrigeradores de supermercados franceses hasta 50°C

Fuente:
https://techcrunch.com/2023/08/29/fbi-operation-qakbot-uninstall/

Nota elaborada por Ciberseguridad en español a partir de información publicada por TechCrunch. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.