Axentes da Policía Nacional, nun operativo coordinado por Europol e a Fiscalía Especializada de Criminalidade Informática, detiveron en Alacante ao cerebro dunha organización presuntamente responsable de centos de ciberatracos a entidades bancarias de todo o mundo cometidos desde España mediante sofisticados ataques informáticos e que subtraeu «máis de 1.000 millóns de dólares».
O arrestado, Denis K., de nacionalidade ucraína, xunto con outros tres membros da organización, de nacionalidades rusa e ucraína, infectaban cun software malicioso os sistemas informáticos de entidades bancarias, principalmente rusas, pero tamén de Bielorrusia, Acerbaixán, Casaquistán, Ucraína e Taiwán, tomando o control dos sistemas críticos que lles permitía baleirar caixeiros de forma remota, alterar saldos ou modificar contas.
No caso de España, a organización criminal atacou durante o primeiro trimestre de 2017 caixeiros situados no centro de Madrid realizando extraccións fraudulentas por un valor de medio millón de euros. «Estamos ante unha das operacións máis importantes da Unidade Central de Ciberdelincuencia da Policía Nacional pola transcendencia internacional do cibercriminal detido», subliñou o ministro do Interior, Juan Ignacio Zoido, durante unha comparecencia pública para informar deste «complicadísimo traballo de investigación».
1,5 millóns de dólares de media en cada operación
Desde que comezaron a operar no ano 2013 este grupo de delincuentes logrou acceder a practicamente todos os bancos de Rusia. Os beneficios obtidos con cada ataque, que superaban o millón e medio de dólares de media, eran convertidos inmediatamente en criptomoedas co fin de facilitar o seu movemento nunha rede internacional de branqueo de capitais.
No rexistro realizado no domicilio do detido interviñéronse equipos informáticos, xoias valoradas en 500.000 euros, diversa documentación e dous vehículos de alta gama, entre outros efectos. Ademais bloqueáronse contas bancarias e dúas vivendas valoradas en preto de 1.000.000 de euros.
A investigación iniciada a principios de 2015 resultou especialmente complexa ao ter que conxugar técnicas de investigación tradicionais contra o crime organizado e novos métodos para a procura de indicios probatorios en infraestruturas cibernéticas e o uso de criptomoedas. Os investigadores españois han contado co apoio operativo do FBI e de Interpol.
Lideraba a organización de ciberdelincuentes desde o ano 2013
O arrestado dirixía esta organización criminal desde España creada a finais do ano 2013 e integrada por outros tres individuos cos que establecera contacto a través de foros na internet e cos que non mantiña contacto persoal algún.
A pesar do elevadísimo nivel técnico dos seus integrantes, os ciberdelincuentes necesitaban o apoio doutros grupos criminais para coordinar o traballo das mulas encargadas das extraccións de diñeiro en efectivo dos caixeiros automáticos que atacaban en diferentes países. Ata o ano 2015 foi a mafia rusa a encargada deste labor e a partir de 2016 fíxoo a mafia moldava.
Desde a súa constitución fai cinco anos os cibercriminais evolucionaron o software malicioso empregado nos seus ciberataques. Entre 2013 ata mediados de 2017, a banda criminal desenvolveu varios deles, denominados anunak e carberp, que cambiaron cando as empresas de seguridade desenvolveron mecanismos de detección. A partir de aí decidiron desenvolver unha nova ferramenta, denominada Cobalt Strike, de acceso remoto, que utilizou a organización como parte das súas ciberataques. Durante este período, non só atacaron a bancos de Rusia, senón que ampliaron a súa actividade criminal a outras entidades de antigas repúblicas soviéticas e mesmo a Taiwán.
Desde mediados do ano 2017 a organización criminal centrouse no desenvolvemento dunha nova ferramenta indetectable que tiña maiores capacidades e sofisticación. Cando tiveron dispoñible unha versión de avaliación probaron a súa efectividade para penetrar nos sistemas de entidades bancarias de todo o mundo (incluídas entidades españolas), tendo previsto utilizala para as súas ciberatracos de forma inminente. Os investigadores lograron obter unha mostra deste novo software durante a análise dos dispositivos informáticos intervidos ao detido.
O xeito de operar
O modus operandi utilizado desde o inicio das súas actividades criminais era similar. O ataque comezaba co envío masivo de correos electrónicos fraudulentos suplantando a identidade de organismos ou empresas lexítimas e dirixidos a unha multitude de direccións de correo electrónico de empregados de entidades bancarias de todo o mundo. Estes correos achegaban un ficheiro, xeralmente en formato . RTF ou . DOC, que contiñan un código malicioso que facía posible explotar algunha vulnerabilidade non actualizada nos sistemas informáticos das vítimas.
Unha vez o empregado recibía o correo electrónico e abría o ficheiro adxunto, e naqueles casos nos que a vulnerabilidade non se atopaba debidamente actualizada no computador do empregado, executábase no seu computador un código malicioso. Leste iniciaba a descarga dun paquete do software que permitía, posteriormente, o control remoto do mesmo desde servidores de comando e control.
Desde o computador infectado do empregado tentaban escalar privilexios dentro do sistema comprometido e movíanse lateralmente a outros dispositivos da rede interna bancaria, ata que tomaban o control de sistemas críticos do banco (sistema de transaccións ou infraestrutura de caixeiros automáticos). Unha vez os cibercriminales conseguían o control, manexaban ao seu antollo os caixeiros automáticos ordenándolles remotamente que expedisen diñeiro, executaban modificacións de saldo en contas concretas para realizar posteriormente extraccións con cartóns asociados, ou desviaban transferencias de grandes cantidades de diñeiro a contas da organización.
A selección das entidades bancarias obxectivo facíase en función do interese que presentaban para a organización, de acordo a parámetros de capacidades económicas e informáticas. Da investigación dedúcese que, ao longo da súa actividade, a organización conseguiu tomar o control da rede da práctica totalidade dos bancos de Rusia, extraendo diñeiro duns 50 deles, aqueles que polas súas características e estrutura poderían reportarlles maiores beneficios.
O impacto económico ocasionado coas súas actividades delituosas estímase en máis de 1.000 millóns de dólares. Entre os seus obxectivos figuraban, ademais de bancos rusos, entidades de Bielorrusia, Acerbaixán, Casaquistán, Ucraína e Taiwán. No referido a España, a organización criminal atacou caixeiros do centro de Madrid durante polo menos o primeiro trimestre do ano 2017. Realizaron extraccións por un valor de ao redor de 500.000 euros usando tarxetas asociadas a contas correntes con saldos modificados fraudulentamente e pertencentes a bancos de Rusia e Casaquistán.
Os beneficios da actividade ilícita en forma de grandes cantidades de diñeiro en efectivo eran cambiados a bitcoins en casas de cambio de Rusia e Ucraína. Os bitcoins eran posteriormente transferidos a contas do detido, que chegou a acumular ao redor de 15.000 bitcoins. O detido utilizaba plataformas financeiras en Xibraltar e Reino Unido para cargar tarxetas de prepagamento con esta criptomoeda que podía utilizar en España para a compra de todo tipo de bens e servizos (incluídos vehículos e vivendas). Así mesmo, o detido dispoñía dunha enorme infraestrutura de minado de bitcoins que utilizaría como medio de branqueo.
O altísimo nivel de vida que levaría o detido tanto en Ucraína como en España, xunto con investimentos realizados en infraestrutura cibernética necesaria para executar novos ataques e incrementar os beneficios, ao que hai que sumar perdas millonarias en disputas coa mafia rusa e en plataformas de intercambio de criptodivisa, fai sospeitar que o seu patrimonio actual en moeda virtual diminuiría considerablemente.
