El FBI, en colaboración con autoridades internacionales, llevó a cabo una operación denominada «Operación Duck Hunt» que logró derrocar la familia de malware conocida como QakBot.
Impacto global de la red de cibercrimen
La red de cibercrimen QakBot había dejado su huella en más de 700,000 dispositivos alrededor del mundo. Estaba involucrada en operaciones relacionadas con fraudes financieros y la ejecución de ransomware.
Participación internacional
La acción contó con participación de fuerzas policiales provenientes de Francia, Alemania, Letonia, Rumanía, los Países Bajos, el Reino Unido y Estados Unidos. La empresa de ciberseguridad Zscaler brindó asistencia técnica durante la operación.
Resultados de la operación
El Departamento de Justicia de los Estados Unidos destacó que el malware está siendo eliminado de los sistemas afectados. La operación permitió incautar más de 8.6 millones de dólares en criptomonedas obtenidas ilegalmente.
Calificación del impacto
La acción fue calificada como «la mayor interrupción financiera y técnica liderada por los Estados Unidos de una infraestructura de botnet utilizada por ciberdelincuentes».
Historia y evolución de QakBot
QakBot, también conocido como QBot o Pinkslipbot, comenzó como un troyano bancario en 2007. Con el tiempo se transformó en una herramienta multifuncional que distribuye código malicioso, incluyendo diferentes variantes de ransomware.
Variantes de ransomware propagadas
Entre las variantes de ransomware propagadas por QakBot, se encuentran Conti, ProLock, Egregor, REvil, MegaCortex y Black Basta. Se estima que los administradores de esta red obtuvieron ganancias de aproximadamente 58 millones de dólares entre octubre de 2021 y abril de 2023.
Actividad en el segundo trimestre de 2023
Según HP Wolf Security, QakBot fue una de las familias de malware más activas en el segundo trimestre de 2023. QakBot utilizó hasta 18 cadenas de ataque únicas y realizó 56 campañas durante ese periodo.
Acciones técnicas llevadas a cabo
Los servidores controlados por el FBI redirigieron el tráfico de la botnet, lo que permitió desconectar las máquinas infectadas de la influencia de QakBot. La mayoría de los servidores de comando y control se localizan en Estados Unidos, Reino Unido, India, Canadá y Francia.
Infraestructura principal
Su infraestructura principal está ubicada en Rusia. Secureworks Counter Threat Unit (CTU) informó que detectó la botnet distribuyendo una shellcode a dispositivos infectados el 25 de agosto de 2023.
Metodología de infección
El proceso se llevó a cabo mediante un ejecutable DLL personalizado que contiene código para terminar limpiamente el proceso QakBot en ejecución. QakBot ha demostrado su capacidad de adaptarse a las contramedidas implementadas.
Vectores de infección utilizados
Tras la deshabilitación de macros en aplicaciones de Office, el malware empezó a utilizar archivos de OneNote como vector de infección. También utilizó formatos como PDF, HTML y ZIP en sus cadenas de ataque.