Microsoft desarticula la red cibercriminal ZLoader especializada en el robo mediante ransomware

La Unidad de Crímenes Digitales de Microsoft ha liderado las actividades de desmantelamiento y continuará trabajando con sus socios y proveedores de servicios de Internet para vigilar las acciones de los ciberdelincuentes y proporcionar soluciones a las víctimas.

La Unidad de Crímenes Digitales de Microsoft -Digital Crimes Unit (DCU)- ha tomado medidas legales y técnicas para desarticular una red de bots delictiva llamada ZLoader. Esta red, dirigida por un grupo de crimen organizado que opera en todo el mundo a través de Internet, utilizaba la técnica de malware como servicio para robar datos y extorsionar, infectando los dispositivos informáticos de empresas, hospitales, colegios y usuarios particulares.

Microsoft ha obtenido una orden judicial del Tribunal de Distrito de los Estados Unidos para el Distrito Norte de Georgia, que le ha permitido tomar el control de 65 dominios que el grupo criminal de ZLoader usaba para crecer, controlar y comunicarse con su red de bots. Estos dominios han sido redirigidos a un sinkhole de Microsoft, de forma que no puedan seguir siendo utilizados por los cibercriminales para desarrollar su actividad delictiva.

ZLoader contiene un algoritmo de generación de dominios (DGA) incrustado en el malware que crea otros adicionales como canal de comunicación de reserva para la red de bots, por lo que además de los dominios cifrados, Microsoft ha podido tomar el control de otros 319 dominios DGA actualmente registrados. También se está trabajando para bloquear un previsible futuro registro de dominios generados por el algoritmo malicioso.

Los ciberdelincuentes pierden el anonimato
Las actividades de Microsoft tienen como objetivo desarticular la infraestructura de ZLoader y dificultar que este grupo de crimen organizado continúe con sus actividades. Durante la investigación, la compañía identificó a uno de los responsables de crear un componente utilizado en la red de bots ZLoader para distribuir ransomware -un tipo de programa dañino que cifra la información del equipo para restringir el acceso a determinadas partes del sistema o archivos, y pide un rescate a cambio de recuperar los datos-. Su nombre es Denis Malikov y reside en la ciudad de Simferopol, en la península de Crimea.

Microsoft ha decidido hacer pública su identidad y su relación con este caso para dejar claro que no se permitirá a los ciberdelincuentes esconderse tras el anonimato de Internet para cometer sus delitos. La acción legal desarrollada hoy es el resultado de meses de investigación, anteriores al actual conflicto en la región.

En un primer momento, el objetivo principal de ZLoader era el robo financiero, mediante la sustracción de IDs de inicio de sesión, contraseñas y otros datos destinados a sustraer el dinero de las cuentas de las víctimas. ZLoader incluía un componente que deshabilitaba un conocido software de seguridad y antivirus, impidiendo así que las víctimas detectaran la infección. Con el tiempo, los ciberdelincuentes comenzaron a utilizar la técnica de malware como servicio para distribuir ransomware peligroso como Ryuk, conocido por dirigirse a instituciones sanitarias con el fin de extorsionar a las mismas, sin tener en cuenta que dichas acciones ponen en riesgo grave la vida de muchos pacientes.

“La red cibercriminal se esforzará por reactivar las operaciones de ZLoader. Hemos remitido este caso a las autoridades y lo estamos siguiendo de cerca. Continuaremos trabajando con nuestros socios para vigilar el comportamiento de estos ciberdelincuentes, así como con los proveedores de servicios de Internet (ISP) para identificar y dar soluciones a las víctimas”, señala Amy Hogan-Burney, General Manager of the Digital Crimes Unit/Associate General Counse en Microsoft. “Estamos dispuestos, como de costumbre, a tomar medidas legales y técnicas adicionales para hacer frente a ZLoader y otras redes de bots”.

Trabajo conjunto para el desmantelamiento de la red cibercriminal
La Unidad de Crímenes Digitales de Microsoft –Microsoft Digital Crime Unit o DCU por sus siglas en inglés– lideró las actividades de investigación para desmantelar la red cibercriminal y contó con la colaboración de ESET, Black Lotus Labs -la unidad de inteligencia ante amenazas de Lumen– y la Unidad 42 de Palo Alto Networks, que aportaron datos e información adicional que ayudó a reforzar la acción legal llevada a cabo por Microsoft a través de sus socios del Financial Services Information Sharing and Analysis Centers –FS-ISAC– y el Health Information Sharing and Analysis Center –H-ISAC-. Asimismo, ha sido un trabajo conjunto con el Microsoft Threat Intelligence Center y el equipo de Microsoft Defender, contando además con la contribución de Avast, que apoyó al equipo de DCU de Microsoft en Europa.