Crypto news

La semana estuvo repleta de eventos en el ámbito de la seguridad digital: desde la desarticulación de un gran esquema fraudulento en Ucrania hasta el uso innovador de la blockchain en el arsenal de los extorsionadores. Analizo los incidentes clave que están configurando el panorama de amenazas.

La ciberpolicía ucraniana desmantela el esquema Money 24/7

Las autoridades ucranianas neutralizaron la actividad de la red fraudulenta Money 24/7, que se hacía pasar por un servicio legítimo de cambio de divisas y criptoactivos. Los organizadores crearon una completa «ilusión de confiabilidad»: recursos web de calidad, un canal activo de Telegram, una marca registrada e incluso una oficina con caja. Los clientes dejaban una solicitud en línea, tras lo cual se les invitaba a la oficina para entregar el efectivo, pero la criptomoneda prometida nunca llegaba a sus monederos. Para ganar tiempo y retrasar las denuncias policiales, devolvían parcialmente los fondos a las víctimas o les entregaban «garantías por escrito». Durante los registros en siete regiones se incautaron más de 20 millones de grivnas en efectivo. El organizador se enfrenta a hasta 12 años de prisión con confiscación de bienes.

El FBI advierte sobre una ola de ataques con robo de fotos íntimas

La Oficina y la Asociación Nacional de Deportes Universitarios detectan un aumento de ciberataques dirigidos al robo de fotos y videos personales de cuentas en la nube. Los delincuentes utilizan SMS y correos electrónicos de phishing, asustando a las víctimas con el bloqueo de su cuenta. Tras obtener acceso a material íntimo, los hackers exigen un rescate, amenazando con publicarlo. Es notable que, incluso después del pago, los datos a menudo se venden en la dark web, lo que provoca una nueva ola de acoso y extorsión. Los estudiantes deportistas se han convertido en un objetivo particular.

Ataque a bordo de Delta Air Lines: hackers del DEF CON

En un vuelo de Delta Air Lines, que viajaba de Las Vegas a Atlanta con participantes de la conferencia de hackers DEF CON 34, ocurrió un incidente con el Wi-Fi a bordo. Los atacantes enviaban paquetes de datos falsos, desconectando los dispositivos de los pasajeros de la red legítima, y desplegaron su propia red «Delta WiFi Fast» con una página de autenticación de phishing, dirigida a robar contraseñas de Google. La tripulación cortó la energía del Wi-Fi durante 30 minutos. Tras el aterrizaje, la policía interrogó a los sospechosos e incautó equipo portátil de hackeo. La seguridad del vuelo no corrió peligro, ya que la red de pasajeros está aislada de los sistemas de navegación.

Jewelbug: la doble vida de los hackers chinos

El grupo Jewelbug, conocido por su complejo ciberespionaje, también resultó estar involucrado en fraudes con criptomonedas. Los analistas de Symantec vincularon la parte financieramente motivada de los ataques con una empresa china legítima de SEO, lo que indica un modelo de «hackers a sueldo». En el marco de una campaña de espionaje, el grupo comprometió el correo web de 15 ministerios gubernamentales en Oriente Medio y Asia, utilizando código JavaScript para robar cookies de sesión. Paralelamente, según se descubrió, usaban redes neuronales para generar artículos falsos en cientos de dominios falsos que imitaban a Binance y OKX, y botnets posicionaban estos sitios en los primeros resultados de los buscadores. En la base de datos del grupo se encontraron más de un millón de registros, 580 000 cookies robadas y miles de credenciales. Para infectar servidores Linux se utilizaba un troyano personalizado en Rust llamado ClientKing.

DeadLock: los extorsionadores migran a la blockchain de Polygon

El grupo de extorsionadores DeadLock, con casi un centenar de víctimas, ha cambiado radicalmente su infraestructura, migrando por completo a soluciones descentralizadas para protegerse de los bloqueos. En lugar de la tradicional nota de rescate, el virus deja un archivo HTML que es una aplicación web autónoma completa. El código JavaScript dentro de este archivo interactúa directamente con contratos inteligentes en la blockchain de Polygon para rotar las direcciones de los servidores proxy. Si las autoridades bloquean una dirección, a los hackers les basta con actualizar el registro en el contrato inteligente y el chat vuelve a funcionar. Las publicaciones sobre los hackeos también están vinculadas a contratos inteligentes y se distribuyen a través del protocolo descentralizado Wasabi. Técnicamente, el malware utiliza criptografía híbrida Curve25519 y XChaCha20, y para camuflarse pausa el proceso cuando hay una alta carga en el sistema.

Ciberataque a una central térmica polaca: nuevo vector de penetración

CERT Polska reveló los detalles de un ataque a una central de cogeneración que suministra calefacción a unos 50 000 habitantes. La singularidad del incidente radica en que los atacantes penetraron en la infraestructura crítica a través de la red celular privada del operador local de redes eléctricas. Comenzando por un parque eólico, los hackers, a través de un firewall y un enrutador celular Teltonika RUTX50, llegaron al controlador WAGO PFC200, protegido únicamente con la contraseña de fábrica. A través de él, tendieron un túnel hacia la red interna de la central, pusieron los controladores Siemens S7 en modo stop y cambiaron las contraseñas, lo que provocó la detención física de la turbina de vapor. Los atacantes destruyeron metódicamente las pruebas, restableciendo los equipos a sus ajustes de fábrica.

Mi comentario: La migración de DeadLock a los contratos inteligentes de Polygon es una llamada de atención para toda la industria de la seguridad. La descentralización, que debía ser nuestro escudo, ahora se convierte en una espada en manos de los ciberdelincuentes. Los métodos tradicionales de lucha contra la infraestructura de los extorsionadores, basados en el bloqueo de dominios y servidores, están perdiendo eficacia. La industria necesita desarrollar urgentemente nuevas estrategias de respuesta, quizás a nivel del análisis del comportamiento del malware y de las cadenas de transacciones en la blockchain.