Cazadores de hackers revelan las claves para atrapar a un ciberatacante

Al acceder a sus operaciones, pueden saber qué está haciendo el grupo criminal, con qué herramienta, en qué momento, qué planean y revelar su estrategia. “La idea de infiltrarse y pasar desapercibido, darle seguimiento y saber cuando cambian de estrategia o de rumbo, para anticipar la jugada: nunca hemos visto eso de una IP chilena, porque sino le hubiésemos informado a la PDI para que fuera va a tocar la puerta de la casa”, dice el ejecutivo.

Como los ciberdelincuentes están conectados desde diferentes partes del mundo, dice que “es una tarea que todavía es súper difícil para el FBI u organismos internacionales”.

Según José Gago, experto en Ciberdefensa y hacker de CronUp, la forma reactiva es cuando el incidente ya ha ocurrido. Eso en Chile se ha visto en el sector bancario o con EMCO. En estos casos se realizan análisis forenses y se empiezan a encontrar ciertos rastros en los equipos. Es así como se detectan estos “artefactos forenses”, mientras los especialistas comienzan a comprender por dónde ingresó el atacante, si existe alguna vulnerabilidad o si utilizó otra herramienta o recurso. Ahí es donde emergen las piezas del rompecabezas para detectar a este ciberdelincuente.

“Como aquí es un tema económico y buscan dinero, siempre dejan ciertas huellas que delatan o, en el caso del ransomware, contacto directo con ellos: En ese sentido, es muy fácil llegar a estos actores de amenazas y saber quiénes son”, dice el especialista.

Germán Fernández, director de Threat Intelligence, hacker y cofundador de CronUp, dice que existe una tecnología que nos permite descubrir cuándo la infraestructura de una empresa o cliente se conecta con la de “adversarios” y, accediendo a los paneles de administración de la ciberdelincuentes, pueden ver cuántos equipos han infectado, qué países están involucrados, IP y nombre del equipo con los datos de las últimas conexiones, entre otros detalles. “Así podemos atraparlos e identificar todos los elementos que utilizan para generar sus ataques”, dice.

Todo esto también forma parte de la metodología con la que trabajan y a la que denominan “Alerta temprana de riesgos”.

¿Es realmente posible atrapar a un ciberdelincuente? Es una tarea larga y difícil, admiten, pero hay muchos casos en los que lo es.

Sin embargo, se complica cuando hay otras variables involucradas, como el uso de criptomonedas. Con ellas, los ciberatacantes intentan evitar la persecución, aunque a día de hoy ya es posible rastrear algunas de estas monedas.

El problema, en algunos casos, es que al identificar una IP esta puede moverse en diferentes rangos de posicionamiento. Allí la PDI, con una orden de la Fiscalía, Solicita información a proveedores de servicios de internet, y con eso pueden geolocalizar la dirección y atrapar al infractor con prueba o evidencia.

En general, emplean a personas necesitadas que están dispuestas a hacer cualquier cosa por dinero. No hay vínculos entre los involucrados. “Puedes instalar un dispositivo en un cajero automático, pero El que pone el dispositivo no conoce al que lo desarrolló, ni al que lo contactó, ni al dueño que descifra esa información, ni al que está en Rusia: si encuentran a una de estas personas, no detectan la fuente principal”, dice José Gago.

Cuando un ciberdelincuente quiere cobrar una recompensa por los datos secuestrados, significa miles de dólares. Hay empresas que deciden pagarlo, mientras que otras prefieren “renunciar” y reconstruir a través de sus copias de seguridad. Pero hay firmas que deciden hacerles frente también.

Según Germán Fernández, en CronUp han respondido pedidos que van desde los diez mil dólares hasta algunos que exceder los cien mil dólares. “Es complicado y estresante, sobre todo para quienes están llevando la parte de comunicación con los atacantes, porque todos toman posición en el momento de la batalla. Alguien tiene que comunicarse con los delincuentes, pero también hablar con los proveedores y clientes, con el CSIRT o la PDI”, comenta. Han tenido diálogos uno a uno con operadores de ransomware, operadores de malware, hacktivistas y otros.

En los ataques de ransomware, dice Fernández, No se recomienda pagar porque se fomenta el cibercrimen, pero la decisión final está en los ejecutivos. Este año se han atendido unas nueve incidencias de este tipo, y siete de ellas han optado por llevar a cabo la operación.

“Son conversaciones que parecen interminables, porque hay diferencias horarias, nos piden rápido que respondamos o hagamos la transferencia; Hay que comprar bitcoins, enviar pruebas, pedir descuentos y otras cosas”, desarrolla el experto.

Hay diálogos que pueden durar días, semanas o lo que decidan los implicados, pero siempre teniendo en cuenta que hay una empresa afectada.

¿Cuál ha sido tu caso más difícil?

A mediados de este año, una empresa los contactó por un ataque de ransomware. Estaban en emergencia, no podían operar y tenían todo parado. Las pérdidas por un día no trabajado eran de miles de dólares y su idea, dice Germán Fernández, era pagar a los delincuentes. Pero había otra posibilidad.

Se contactaron con los delincuentes, entablaron un diálogo y les enviaron archivos encriptados para que los devolvieran desencriptados y verificaran que eran ellos. Ellos lo hicieron. Entonces, tomaron una de las computadoras de la compañía y dejaron una de las carpetas encriptadas allí (había miles de servidores de respaldo) y se hicieron pasar por empleados. “Nosotros no sabíamos de tecnología, supuestamente, y cuando nos decían que miráramos esa carpeta y diéramos esa información, les decíamos que nos ayudaran, entonces los aburríamos”, recuerda Fernández.

El criminal y sus jefes aceptaron la propuesta. Fernández y su gente instalaron un keylogger en la computadora y luego un programa para que el sujeto se conectara de forma remota. El atacante ingresó la clave de cifrado, activó el programa para descifrar información, copió y pegó la contraseña e inició el proceso. Funcionó y le dijeron que cerrara la sesión para proceder al pago.

“Fuimos a nuestro programa y habíamos recuperado la clave, así que desconectamos todo, desciframos y les dijimos que no les pagaríamos: prometieron volver a hacerlo, muy enojados”, recuerda entre risas.