El negocio de las redes zombi

El Laboratorio Kaspersky, principal productor de sistemas de defensa contra software malicioso, ataques de hackers y spam, publica el artículo analítico “El negocio de las redes zombi” del analista en jefe Vitaly Kamliúk, este artículo nos habla de la formación y empleo de las redes zombi (bots), que en los últimos años se ha convertido en una de las amenazas más serias dentro de la seguridad informática. El artículo abre la publicación de una serie documentos dedicados a este tema.

Sin embargo, se subestima el problema de las redes zombi y muchos usuarios (mientras no se les corte el acceso a Internet, mientras no pierdan dinero en sus tarjetas de crédito o mientras no les roben su buzón de correo o cuenta IM) no llegan a comprender en qué consiste la verdadera amenaza de las redes zombi.

La red-zombi es una red de ordenadores infectados por un programa malicioso, que permite a los cibercriminales control y dirigir las máquinas a distancia. Los programas maliciosos que fueron creados para ser la base de estas redes-zombi, se denominan programas zombi (bots).

Las redes zombi poseen un gran potencial de recursos informáticos, son verdaderas armas y también una forma efectiva de que los malhechores ganen dinero ilegalmente. Además, los ordenadores infectados que forman parte de la red pueden ser controlados por el dueño de dicha red desde cualquier lugar, desde otra ciudad, país o incluso continente y que la organización de Internet permite hacer esto de manera anónima.

El dueño del ordenador infectado, por lo general no se da ni siquiera cuenta de que su ordenador está siendo usado por malhechores. Los ordenadores de usuarios de casa son los que más a menudo son ordenadores-zombi.

Los malhechores pueden usar las redes-zombi para resolver una serie de tareas criminales, por ejemplo: envío de spam, hasta incluso ataques a las redes de gobierno.

Envío de spam. Esta una de las formas más difundidas de explotación de redes zombi y también una de las más sencillas. Según las evaluaciones de expertos, más del 80% de las cartas spam son enviadas desde equipos zombi. Los dueños de estas redes no son necesariamente los que se dediquen a este envío. Por un módico pago los spamers pueden alquilar un red zombi.

De acuerdo con los datos que tenemos, un spamer medio gana de 5 a 100 mil dólares al año. Las miles de redes permiten a los spamers hacer millones de envíos desde las máquinas infectadas en un periodo de tiempo muy corto.

Ciberchantaje. El segundo método más popular de ganar dinero en las redes zombi consiste en usar decenas, cientos y hasta miles de ordenadores para realizar ataques DDoS (Distributed Denial of Service, ataques de denegación de servicio). Durante este tipo de ataque desde máquinas infectadas con programas zombi se forma un flujo de pedidos falsos dirigidos al servidor atacado. Como consecuencia el servidor queda fuera de acceso por la sobrecarga. Para detener este ataque, los malhechores como regla exigen un rescate.

Hoy en día muchas empresas trabajan solamente a través de Internet, para ellos la inactividad forzada de sus servidores detiene todos sus negocios, lo que genera pérdidas financieras. Con el fin de devolver la estabilidad lo antes posible a sus servidores, lo más seguro es que estas compañías cumplan las exigencias de los chantajistas en lugar de dirigirse a la policía en busca de ayuda. Precisamente esta reacción es la que esperan los ciberdelincuentes, por eso los ataques DDoS son cada vez más frecuentes.

Los ataques DDoS también se pueden usar como medio de influencia política. En estos casos se atacan por lo general servidores de instituciones estatales u organizaciones gubernamentales. El peligro de este tipo de ataques es que pueden ser de carácter provocativo ya que el ataque de los servidores de un país puede realizarse desde servidores de otro país y ser controlado desde el territorio de un tercer país.

Acceso anónimo a la Red. Los malhechores pueden dirigirse a los servidores de Internet usando máquinas zombi y bajo el nombre de las máquinas infectadas llevar a cabo delitos cibernéticos, por ejemplo, forzar sitios web o hacer giros con el dinero robado.

Venta y alquiler de redes zombi. Una de las formas de ganar de forma ilegal con la ayuda de redes zombi es alquilar o vender una red lista para su uso. La creación de redes zombi para su venta es una rama aparte en el negocio de ciberdelincuencia.

Phishing. Las direcciones de las páginas phishing fácil y rápidamente pueden caer en las listas negras. La red zombi da la posibilidad a los pescadores o phishers de cambiar de manera muy fácil las direcciones de las páginas phishing, usando ordenadores infectados como servidores proxy. Esto permite ocultar la dirección verdadera del servidor web del phisher.

Robo de datos confidenciales. Este tipo de actividad delincuente es la que no deja de atraer a los ciber delincuentes, y con la ayuda de las redes zombi “la captura” de diversas contraseñas ( para tener acceso a los recursos E-Mail, ICQ, FTP, servicios de red) y otros datos confidenciales de los usuarios aumenta miles de veces. El programa zombi que infecta los ordenadores de la red zombi puede descargar otros programas maliciosos, por ejemplo, un troyano que roba contraseñas. En este caso todos los ordenadores de esta red zombi estarán infectados con el programa troyano, y los malhechores podrán obtener las contraseñas de todas las máquinas infectadas. Las contraseñas robadas se revenden o se usan por ejemplo para infectar masivamente páginas web (por ejemplo las contraseñas para todas las cuentas FTP encontradas) con el propósito de difundir el programa malicioso y extender la red zombi.

El negocio de redes zombi

La respuesta al por qué las redes-zombi continúan desarrollándose y son un problema cada vez más vigente, está en el estado del mercado negro creado alrededor de las redes-zombi. Hoy en día los ciber-delincuentes que usan redes-zombi, no necesitan de conocimientos especializados ni de grandes sumas de dinero. La industria ilegal de redes-zombi ofrece a todos los que deseen la adquisición de una red-zombi por un precio módico y con todo lo necesario: software, redes ya preparadas y servicios de hosting anónimo. Si echamos un vistazo a las páginas “negras” de Internet veremos cómo funciona la industria de redes-zombi que presta sus servicios a los dueños de las redes-zombi.

Lo primero que se necesita para la construcción de una red-zombi es un programa zombi, que permita realizar diversas acciones a distancia en un ordenador de tal manera que el usuario no lo sepa. El software para la creación de la red-zombi se puede comprar fácilmente en la Red, buscando los anuncios respectivos y comunicándose con aquellas personas que los publicaron.

Para construir una red zombi dirigida a la web, es necesario tener un área hosting donde se puede instalar el centro de control. El que lo desee puede comprar un área de este tipo junto con los servicios de mantenimiento y posibilidad de realizar un trabajo anónimo con el servidor (el hoster, como regla garantiza que cualquiera no podrá acceder a los archivos del diario incluso los órganos competentes).

Cuando ya se ha construido el área C&C son necesarias máquinas infectadas por el programa zombi. Los que así lo deseen pueden comprar una red ya preparada con un programa zombi “ajeno” ya instalado. Por cuanto los casos de robo de redes-zombi entre los mismos malhechores son frecuentes, los compradores prefieren reemplazar el programa zombi “ajeno” por su propio programa malicioso tanto en las máquinas como en el centro de control, teniendo así la garantía de poseer el control sobre la red-zombi.

Conclusión

Al presente, las redes-zombi son una de las fuentes principales de ganancias ilegales en Internet y un arma terrible en manos de malhechores. Es inútil esperar que los cibercriminales se nieguen a usar un instrumento tan efectivo y los expertos en seguridad ven el futuro con cierta alarma ya que se espera un posterior desarrollo de la tecnología de redes-zombi.

No solamente los cibercriminales sino también los gobiernos pueden estar interesados en la construcción de redes-zombi internacionales, para usarlas como instrumentos de presión política y para hacer ataques a redes de otros gobiernos. Además las posibilidad de dirigir anónimamente las máquinas infectadas independientemente de su situación geográfica puede permitir a aquellos interesados en desencadenar un conflicto, provocar guerras, para lo que sería suficiente organizar un ataque cibernético al servidor de un país desde el servidor de otro país.

Las redes que tienen los recursos de decenas, cientos y hasta miles o millones de máquinas infectadas poseen un potencial muy peligroso, que por suerte por ahora no se usa en su totalidad. Entre tanto todo este terrible ciber-poder se basa en las máquinas infectadas de simples usuarios, precisamente son ellos los que tienen la gran mayoría de ordenadores-zombi y los malhechores hacen uso de ellos.