Fábricas de BOTNETS: lo que nuestro CEO contó en La Sexta Columna

Lunes, nueve de la mañana.

Un cliente nos escribe alarmado: durante el fin de semana su empresa ha recibido cientos de reseñas negativas, casi todas con el mismo tono y publicadas en pocas horas.

Ninguna de esas personas le había comprado nunca nada.

• ¿Quién estaba detrás?
• ¿Cuánto costó montarlo?
• ¿Y por qué fue tan fácil?

Son las mismas preguntas que se hizo el equipo del reportaje de La Sexta Columna sobre las fábricas de botnets, en el que ha participado nuestro CEO, Pablo F. Iglesias. Se emitió el pasado 16 de octubre, y cuya intervención, que al final, de las cerca de tres horas de grabación, apenas publicaron unos pocos segundos en antena, puedes verla por aquí:

Y ojo, que Pablo no fue a contarlo de oído. Contrató en directo un servicio de este tipo, para que se viera en pantalla cómo se compran retuits y likes con el fin de viralizar un contenido de forma artificial.

Si quieres saber qué se dijo, qué hay detrás y qué puede hacer tu empresa, sigue leyendo.

Nuestro CEO en La Sexta Columna: de qué hablamos delante de las cámaras

Vamos por partes.

El reportaje se centró en cómo se puede controlar el discurso público con ejércitos de cuentas automatizadas. Y en ese contexto Pablo explicó cuatro cosas:

• La compra en directo. Qué aspecto tiene contratar interacciones falsas para un contenido, y lo poco que se parece a lo que uno imagina de un delito informático.
• Los proveedores reales. Las fábricas de bots suelen estar en países con una regulación muy laxa, lejos del alcance de cualquier denuncia.
• Los revendedores. Muchos operan desde empresas con sede en España, ofrecen formularios online y se limitan a trasladar el pedido a la fábrica.
• El ejemplo de Mirai, la botnet que sirve para entender cómo se construyen estos ejércitos.

Y aquí conviene una aclaración. En CyberBrainers no vamos a publicar nombres de proveedores ni el paso a paso de la contratación. Mostrar cómo funciona el negocio ayuda a defenderse. Darle publicidad a quien lo vende, no.

Pero antes de seguir con el negocio, hablemos de Mirai. Porque sin entenderla, el resto no encaja.

Mirai: el ejemplo de BOTNET que explica todo lo demás

¿Por qué Mirai? Pues porque es el caso de manual.

Los investigadores detectaron esta botnet en agosto de 2016. Su funcionamiento era sencillo: buscaba por internet dispositivos conectados, como cámaras o routers, protegidos solo con el usuario y la contraseña de fábrica, y los reclutaba para lanzar ataques. Como cuenta Krebs on Security, probaba más de sesenta combinaciones de credenciales por defecto.

Vamos, que no hacía falta ninguna hazaña técnica. Bastaba con que el dueño de la cámara no hubiera cambiado la contraseña.

El 21 de octubre de 2016, una variante de Mirai participó en el ataque contra Dyn, un proveedor de DNS, que dejó inaccesibles servicios como Twitter, Reddit, Netflix o Spotify. Según el resumen de CloudSEK, se usaron unos 100.000 dispositivos, y el código ya se había hecho público un mes antes, de modo que cualquiera podía montar su propia versión.

¿El resultado? Pues cientos de variantes y un modelo de negocio: alquilar la capacidad de ataque.

Esa es la clave. Una botnet es un recurso que se fabrica una vez y se vende muchas. Y cuando alguien contrata retuits falsos por un formulario, está comprando una versión de ese mismo modelo.

Pero espera, que esto tiene una letra pequeña importante.

Botnets y granjas de bots: dos negocios que a veces comparten fábrica

En el lenguaje cotidiano se mezcla todo, y conviene distinguir.

Mirai es una botnet de ataques de denegación de servicio, hecha de dispositivos infectados. Las cuentas falsas que inflan una tendencia en redes suelen venir de otros sistemas, como granjas de teléfonos o cuentas creadas en masa. Pablo ya lo explicó a Maldita.es cuando habló de las granjas de teléfonos:

«crear tendencias artificiales o simular un amplio apoyo social»

Pablo F. Iglesias, CEO de CyberBrainers, en Maldita.es

¿Y entonces por qué hablar de las dos? Pues porque a veces la fábrica es la misma. Una investigación de GoSecure partió de una botnet de dispositivos IoT llamada Linux/Moose, que producía este servicio de interacciones falsas, y encontró paneles de reventa casi idénticos entre sí y vinculados a un mismo vendedor de software.

Ese vínculo es el que nos interesa como consultora de seguridad: un dispositivo infectado en tu casa puede acabar sirviendo para inflar el perfil de un desconocido, sin que tú lo sepas.

Del formulario a la fábrica: así se reparte el negocio

Pero Pablo, ¿esto no es cosa de políticos y Estados?

Y sí, ahí hay mucho. Pero, recalco, el cliente que más compra no es siempre quien imaginas.

La cadena tiene tres eslabones:

• La fábrica, que opera lejos de cualquier regulación.
• El panel de reventa, que agrupa servicios y precios. Un estudio de IMDEA Networks y UC3M, An analysis of fake social media engagement services, rastreó 86 paneles durante cuatro meses y reunió 2,8 millones de entradas en 61.000 servicios, con opciones como el país de origen de las cuentas.
• La web con formulario, la que ve el cliente. Algunas son empresas españolas.

¿El problema? Pues que el eslabón más visible es el más fácil de perseguir y el menos importante. La fábrica, que es la que cobra de verdad, queda fuera de alcance.

Y cuando esa cadena se pone al servicio de la política, los números impresionan. En Moldavia, por ejemplo, un estudio recogido por EDMO contó casi 10.000 vídeos de TikTok impulsados por redes inauténticas, con más de 93 millones de visualizaciones en tres semanas, en un país de unos 2,4 millones de habitantes. Pablo analizó el caso en su blog.

Claro que esto no solo ocurre en las elecciones.

Qué le pasa a una marca cuando el ruido es FALSO

A estas alturas decir que una empresa también puede ser víctima ya debería sobrar, pero por si hay algún despistado en la sala: las mismas herramientas sirven para hundir una reputación.

Una oleada de reseñas negativas, comentarios coordinados o una acusación viral impulsada por cuentas falsas puede dañar en horas lo que costó años construir. Y lo peor es que el daño es real aunque el origen sea artificial, porque lo ven personas de verdad.

¿Cómo lo vemos desde la consultora? Pues con tres señales que se repiten:

• Cuentas muy recientes o sin historial que opinan con mucha convicción.
• Mensajes casi idénticos publicados en una ventana de tiempo muy corta.
• Picos de actividad en horarios anómalos, sin relación con ninguna noticia.

Si quieres conocer cómo abordamos estos casos, lo explicamos en nuestro servicio de blindaje reputacional.

Cómo blindarse antes de que llegue el ataque

Esto es lo que recomendamos hacer, y conviene hacerlo antes de necesitarlo:

• Monitoriza tu marca. Alertas de menciones y reseñas para detectar picos pronto.
• Documenta todo. Capturas con fecha, enlaces y perfiles implicados. Sin pruebas, la plataforma no actúa.
• Denuncia por los canales oficiales de cada red, aportando el patrón y no solo el contenido.
• Cambia las credenciales por defecto de cámaras, routers y dispositivos conectados. Es la lección de Mirai.
• Valora la desindexación cuando el contenido falso ya está posicionado. Para eso existe EliminamosContenido.

Y si el ataque ya ha llegado, cuanto antes se actúe, menos se propaga.

En CyberBrainers ayudamos a empresas y usuarios a prevenir, monitorizar y minimizar los daños de un ataque informático o una crisis reputacional. Si estás en esta situación, o si quieres evitar estarlo el día de mañana, escríbenos y te preparamos una serie de acciones para remediarlo.