Las autoridades españolas han detenido a tres hombres de 25 y 31 años en una operación que ha desactivado una peligrosa red BotNet de computadores infectados. La BotNet Mariposa, que al parecer es una de las mayores del mundo, controlaba 13 millones de computadoras, muchas de las cuales continúan infectadas.
La desactivación de la BotNet ha sido posible gracias a un grupo informal de voluntarios, que se hace llamar el Grupo de Trabajo Mariposa, un comando de desactivación que vigilaba algunos de los servidores que controlaban la BotNet. La detección fue posible con la ayuda de la investigación de este comando cibernético, que entrego el 23 de diciembre importante información acerca de los criminales que estaban detrás de las actividades de la peligrosa BotNet, con el objetivo de hacer cumplir la ley en España y en EE.UU.
Los computadores infectados por la BotNet Mariposa estaban vinculados a 13 millones de direcciones IP únicas de Protocolo de Internet, dijo Pedro Bustamante, investigador de Panda Security. Es difícil precisar el tamaño exacto de la BotNet, pero parece ser una de las mayores del mundo. Los investigadores que estudian la famosa BotNet Conficker la han vinculado a la mitad de las direcciones IP.
Los investigadores han detectado infecciones Mariposa en la mitad de la lista Fortune 100, así como cientos de agencias de gobierno, dijo Chris Davis, Director General de Inteligencia de Defensa; la compañía que identificó por primera vez la BotNet en mayo del año pasado. Inteligencia de Defensa y Panda Security son parte del Grupo de Trabajo Mariposa, como son tambien los investigadores de Georgia Tech.
Los delincuentes utilizaban la Botnet Mariposa para las típicas ciberestafas: robaban datos bancarios y preparaban la red para realizar ataques masivos de denegación de servicio (DDoS). Sin embargo, por alguna extraña razón no la utilizarfon para lanzar falsos antivirus, una actividad que ayudó a mantener Mariposa bajo vigilancia. "la BotNet era en sí misma muy silencioso", dijo Bustamante.
Uno de esos ataques masivos de DDoS se dirigía contra los equipos de Inteligencia de Defensa en Ottawa. Enfurecidos por los esfuerzos de la compañía que intentaban derrotarlos, los hackers enviaron datos a los servidores de la empresa, a razón de 900 millones de bits por segundo y después de un breve periodo recuperó el control de la BotNet el 25 de enero.
Las compañías antivirus hicieron un buen trabajo de detección de algunas versiones del código Mariposa, pero los cieberdelincuentes cambiaban su software con la suficiente frecuencia - a veces cada 48 horas – para que las versiones de muchos de los programas maliciosos no fueran detectadas. "Las empresas AV no podían escribir ni actualizar firmas de antídotos con la suficiente rapidez como para detener la actividad vírica de la botnet," dijo Davis.
Los investigadores dicen que hay todavía muchos PC están infectados con el virus de BotNet de Mariposa, pero que están trabajando con los proveedores de antivirus para mejorar la detección y eliminar el código malicioso de Internet. Durante el próximo mes o dos, no debería haber "un descenso muy grande" en el número de ordenadores infectados, dijo Davis.
Con la ayuda del Grupo de Trabajo de Mariposa, la policía española detuvo el operador Mariposa primero en enero en Bilbao, España, dijo Davis. Los otros dos hombres fueron detenidos la semana pasada. Él no estaba autorizado a divulgar los nombres de los detenidos.
El error fatal de los delincuentes fue que usaron sus nombres reales en el registro de comando y control de dominios, dijo Davis. Al parecer, pensaron que sería anónimo, ya que utilizaron un registrador de nombres de dominio privado, pero la compañía al ver el tipo de actividad terminó cooperando con el Grupo de Trabajo de Mariposa. "Hay tantas redes de bots y tantos cieberdelincuentes haciendo esto", dijo Davis, "que se creen que no les atraparan y se comportan de forma engreída, o de forma descuidada."
La Guardia Civil de España no ha hecho por el momento comentarios, aunque se espera que la Guardia Civil revele más detalles de las detenciones de este miércoles, durante una conferencia de prensa esta mañana, pero se sabe que la BotNet Mariposa estaba a cargo de "personas normales que están ganando mucho dinero con la ciberdelincuencia", y que construyerón la red zombi, con la ayuda de los contactos en el submundo criminal.
