Una red roba datos clave de 74.000 ordenadores en el mundo

Una red de cibercriminales ha infiltrado, durante el último año y medio, los ordenadores de más de 100.000 usuarios de 196 países, incluida España, y, sólo en el pasado mes, han robado unos 75 gigabites de información relativa a cuentas de correo electrónico, a redes sociales, y a nombres de usuario, claves de acceso y preguntas de seguridad de portales web de banca online, según reveló ayer en un informe la empresa estadounidense de seguridad online NetWitness, que ha descubierto el ataque.

Los hackers -desde China, pero también desde Europa- infectaron más de 74.000 ordenadores (1.400, en España), muchos de ellos de uso compartido, a través de correos electrónicos contaminados con archivos corruptos o enlaces a páginas web contaminadas. A través de esos mensajes lograban descargar en los ordenadores un paquete de software infeccioso, con unas 30 aplicaciones cuya finalidad era sortear los programas de seguridad de los internautas. Una vez completada la infección, el troyano, bautizado como Kneber, robaba la información desde sus servidores. Según NetWitness, menos de un 10% de los antivirus existentes detecta esa infección.

El virus proviene de direcciones en China, Rusia y Alemania

Existe un mercado negro de venta de contraseñas informáticas

"Las organizaciones criminales roban esa información para venderla. Hay todo un mercado negro de venta de información informática", explica el jefe de seguridad de NetWitness, Eddie Schwartz. "Según datos del FBI hay unos 100 países con capacidades de ataque cibernético, países que están interesados en el espionaje online de información empresarial y gubernamental. Esta información se les puede vender a ellos, o a grupos terroristas con la capacidad e intención de organizar ataques coordinados".

La información robada afecta a unas 2.400 empresas privadas y agencias gubernamentales internacionales, todas con ordenadores que funcionan con Windows, en sus versiones XP o Vista. Los países más afectados son Egipto, con un 19% del total, México (15%), Arabia Saudí (13%), Turquía (12%) y EE UU (11%). El principal cometido de los hackers era robar contraseñas e información personal almacenada en las cuentas de las redes sociales de Facebook, Hi5 o Sonico, y el correo electrónico de Yahoo.

"No sólo se trata de contraseñas", añade Schwartz. "Accediendo a esas cuentas, y controlando la información que el usuario introduce, los espías pueden tener perfiles completos: nombre, edad, lugar de residencia, familia, listas de contacto, mensajes privados, cuentas de banco y contraseñas, por ejemplo".

En semanas recientes, la botnet había cambiado el objetivo de su espionaje: se centraba, ahora, en copiar los nombres de usuario y claves de acceso a portales de banca online. Según el informe de la consultora NetWitness, "el archivo de configuración más reciente que descargó el virus antes de que se desarmara la red estaba casi exclusivamente destinado a robar las claves de sitios de banca electrónica o cambio de divisas". La consultora ha encontrado más de 60 páginas financieras o de compra y venta de las que se ha robado información, entre ellas PayPal o Ebay.

En algunas instancias, el troyano ha robado números de tarjetas de crédito o ha copiado respuestas de usuarios a las preguntas de seguridad que se almacenan en los servidores informáticos de esas empresas para restaurar contraseñas, como "¿cuál es el nombre de soltera de su madre?", "¿en qué calle se crió?" o "¿cuál era el nombre de su primera mascota?".

En España, han sido afectados sitios web relacionados con bancos del Grupo Santander (Open Bank, Banesto y Banco Santander), BBVA y Bancaja. Fuentes de estas instituciones financieras aclararon ayer que ataques de este tipo, a usuarios que intentan acceder a sus cuentas bancarias, son frecuentes desde los inicios de la banca electrónica y que recomiendan siempre la instalación de los antivirus más recientes.

El ataque a cuentas de correo afectó a empleados cuyos ordenadores actuaron como puerta de entrada involuntaria a unas cien empresas. Entre ellas se encuentran la farmacéutica Merck y Cardinal Health, según avanzó ayer el diario The Wall Street Journal. Además, los espías se infiltraron en diez agencias y departamentos del Gobierno norteamericano, entre ellos el Pentágono, a través de la cuenta de correo de, al menos, un soldado. Portavoces del Departamento de Defensa declinaron hacer comentarios al respecto ayer, alegando motivos de seguridad nacional.

Casos de robo de contraseñas como éste son frecuentes, sobre todo en páginas de banca. La principal novedad es que el ataque, a más de 100.000 usuarios, haya sido coordinado desde un solo botnet o robot remoto, que ha actuado a través de un dominio registrado por un solo usuario, bajo la dirección hilarykneber@yahoo.com. Esa dirección está asociada a la difusión de otros troyanos previos, como Zeus, identificado por primera vez en 2007 y que roba información a través de las pulsaciones del teclado de los ordenadores.

Al rastrear las direcciones IP a las que se ha asociado la actividad criminal cibernética de hilarykneber@yahoo.com en el pasado, los ingenieros de Netwitness han identificado, como mínimo, una treintena de direcciones IP, casi la mitad de ellas radicadas en China.

De China, precisamente, procedió un ataque que sufrieron el pasado mes de diciembre Google y otra treintena de empresas, a través del cual unos hackers, a los que diversas empresas de seguridad online han asociado a agencias gubernamentales de Pekín, robaron información personal y de cuentas de correo electrónico de activistas de derechos humanos y relacionados con el Tibet. Aquella operación de espionaje también logró información secreta de los servidores corporativos de otras compañías como la contratista del Pentágono Northrop Grumman, Dow Chemical y Yahoo. El Gobierno de EE UU pidió entonces una investigación pública en China.