El Departamento de Justicia de los Estados Unidos, junto con el FBI y el Servicio de Investigación Criminal de Defensa (DCIS), anunció que lograron desmantelar la infraestructura del malware Danabot en el marco de la Operación Endgame. Esta operación se centra en la interrupción de familias de malware como Lumma Stealer, Lactrodectus, Qakbot y otros.
Características de Danabot
Danabot fue inicialmente un troyano bancario que permitía robar datos confidenciales. Posteriormente se convirtió en una plataforma para distribuir otras familias de malware, incluido el ransomware. Opera bajo un modelo de malware como servicio (MaaS), donde los usuarios pueden alquilar acceso desde 500 dólares hasta varios miles de dólares mensuales.
El malware también se conoce por sus nombres alternativos, como Scully Spider y Storm-1044. Es una herramienta multifuncional similar a Emotet, TrickBot, Qakbot e IcedID, capaz de actuar como ladrón y vector de distribución.
Impacto de la Operación Endgame
Durante la última fase de la operación, las autoridades y socios del sector privado lograron romper la cadena de ataque del ransomware desde su origen. Se incautaron aproximadamente 300 servidores y 650 dominios, además de emitir órdenes de arresto internacionales contra 20 personas.
Además, se incautaron 3,5 millones de euros en criptomonedas durante la operación, elevando el total incautado a más de 21,2 millones de euros. El esfuerzo también condujo a la identificación de individuos responsables del desarrollo y administración de Danabot.
Participantes en la Operación
Varias empresas de ciberseguridad participaron en los hallazgos, incluyendo ESET, CrowdStrike, Flashpoint, Google, Intel471, PayPal, Proofpoint, Team Cymru, Zscaler y Europol.
Historia de Danabot
Danabot, codificado en Delphi, ganó notoriedad en 2018 al ser utilizado en una campaña de spam dirigida a usuarios australianos. Desde entonces se expandió a otros mercados y sufrió varias actualizaciones importantes.
Identificación de Ciberdelincuentes
Documentos judiciales revelaron que muchos ciberdelincuentes fueron identificados tras infectar accidentalmente sus propios ordenadores con el malware Danabot. La Oficina Federal de Policía Criminal de Alemania (BKA) inició procedimientos penales contra 37 actores identificados, incluyendo a Aleksandr Stepanov y Artem Kalinkin, ambos de Novosibirsk, Rusia.
Kalinkin podría enfrentar hasta 72 años de prisión si es procesado en Estados Unidos, mientras que Stepanov podría enfrentar hasta cinco años. Brian Krebs señaló que Kalinkin es ingeniero informático en el gigante energético estatal ruso Gazprom.
Conclusión
La Operación Endgame logró interrumpir la infraestructura de Danabot, aunque queda por ver si este malware podrá recuperarse del desmantelamiento. Sin embargo, el golpe se dejará sentir con toda seguridad, ya que las autoridades consiguieron desenmascarar a varios individuos implicados en las operaciones del malware.