Las autoridades federales encargadas de hacer cumplir la ley en Estados Unidos, en colaboración con la empresa de ciberseguridad CrowdStrike, anunciaron una operación dirigida a desmantelar a quienes estaban detrás de un malware que provocó el robo de aproximadamente 150 mil dólares en criptomonedas.
El anuncio se hizo en el marco de una operación internacional en la que también participaron las autoridades de Bulgaria, Hungría y Rumanía, junto con socios del sector privado, entre ellos CrowdStrike y la Fundación Shadowserver. Según el Departamento de Justicia de Estados Unidos, la operación tuvo como objetivo desactivar la red botnet Sality y el software asociado.
Las autoridades dijeron que Sality se ha utilizado desde 2003 para instalar software malicioso en dispositivos comprometidos, lo que ha provocado robos de activos digitales y otros ciberataques. En este tipo de ataques, el atacante no necesita comprometer la billetera directamente; basta con controlar el dispositivo o la herramienta de copiar y pegar para cambiar la dirección del destinatario antes de ejecutar la transferencia.
CrowdStrike explicó que las entidades vinculadas a Sality han utilizado durante los últimos ocho años una herramienta conocida como EggJagger, una herramienta de clipjacking que vigila el portapapeles del dispositivo en busca de direcciones de billeteras de criptomonedas y luego las sustituye en silencio por direcciones controladas por el operador. Según la empresa, esto llevó al robo de al menos 12.1 millones de rublos, es decir, unos 150 mil dólares, en criptomonedas.
La empresa añadió que el valor de los activos digitales aún no gastados alcanzó un máximo de alrededor de 1.5 millones de dólares en enero de 2025. También explicó con claridad el mecanismo del ataque: cuando la víctima copia una dirección de Bitcoin o Ethereum para realizar un pago, los fondos se transfieren a otra dirección en su lugar.
Según CrowdStrike, los esfuerzos realizados por las autoridades llevaron a que los criminales perdieran la capacidad de comunicarse con los dispositivos infectados, lo que representa un golpe directo a la infraestructura en la que se apoyaban para operar la red. Además, las autoridades señalaron que unos 15 mil dispositivos infectados formaban parte de una red de igual a igual que comprobaba la conexión de sus sistemas cada 40 minutos.
¿Qué revela esta operación para los usuarios y las plataformas?
• Confiar solo en copiar y pegar no es suficiente al enviar criptomonedas.
• La verificación manual de la dirección de la billetera antes de enviar sigue siendo un paso esencial.
• Los dispositivos infectados pueden cambiar los datos de la transacción sin que el usuario lo note de inmediato.
• La cooperación entre las autoridades gubernamentales y las empresas de seguridad privadas puede limitar la capacidad de las redes maliciosas para operar.
Este caso pone de relieve cómo un solo software malicioso puede convertirse en un canal continuo para robar activos digitales durante años, y cómo la desactivación de la infraestructura del ataque puede frenar las pérdidas y mostrar la importancia de la revisión de seguridad tanto a nivel del usuario como de la plataforma.