Una botnet de más de 17 millones de dispositivos desmantelada en una operación internacional coordinada
En una operación internacional que ha involucrado a Europol, el FBI y 12 autoridades policiales nacionales, se ha desmantelado la enorme botnet llamada BadBox 3.0, compuesta por más de 17 millones de dispositivos basados en Android. Según el periodista de seguridad de Ars Technica Dan Goodin, la operación se completó el 28 de mayo y se llevó a cabo bajo el nombre en clave 'Operation MORPHEUS'.
BadBox 3.0 es una variante renovada de las versiones anteriores BadBox y BadBox 2.0. Su objetivo principal son los baratos cajas Android TV, tabletas y proyectores inteligentes — en particular los productos de 'falsa marca' importados a bajo precio desde China. Los dispositivos, con software malicioso integrado a nivel del fabricante en el firmware de fábrica, se conectaban a servidores C2 (Command and Control) inmediatamente después de la configuración del usuario.
Las funciones principales de la botnet eran: (1) fraude publicitario — generar clics e impresiones falsas; (2) servicio de proxy residencial — alquilar las conexiones a internet de los dispositivos para que otros delincuentes pudieran ocultar sus direcciones IP; (3) robo de cuentas — intentos de acceso no autorizado a cuentas bancarias, de redes sociales y de comercio electrónico. Según el informe de Europol, la botnet generó aproximadamente 3.200 millones de dólares de tráfico fraudulento en los últimos 18 meses.
El subdirector adjunto de la División Cibernética del FBI, Joshua Skule, dijo en un comunicado: 'La operación BadBox 3.0 demuestra que la cooperación internacional es nuestra arma más eficaz contra el software malicioso. Es esencial que los fabricantes de dispositivos presten atención a la seguridad de la cadena de suministro.' La directora de Europol, Catherine De Bolle, dijo: 'Las autoridades policiales de Alemania, Francia, Países Bajos, Polonia, Rumania, España, Italia, Reino Unido, Australia, Japón y Corea del Sur desempeñaron papeles activos en la operación.'
La operación implicó la incautación de 41 servidores C2 que controlaban BadBox 3.0 y la neutralización de la botnet mediante la técnica de DNS sinkholing. Los trabajos de análisis forense digital continúan en el centro de coordinación situado en la unidad de Hessen de la Policía Federal alemana.
El grupo de investigación de amenazas Satori Threat Intelligence Team de la empresa de ciberseguridad Human Security descubrió BadBox 3.0 a finales de 2024. El CEO de Human Security, Tamer Hassan, dijo en un comunicado: 'Nuestros tres años de investigación sobre BadBox formaron la base del éxito de la operación. La naturaleza de compromiso de la cadena de suministro de esta botnet muestra un modelo de amenaza diferente a los vectores de infección tradicionales por negligencia del usuario.'
Un portavoz del equipo de Seguridad de Android de Google dijo en un comunicado: 'La mayoría de los dispositivos afectados por BadBox 3.0 ejecutaban versiones de Android no certificadas por Google Play Protect. Se aconseja a los consumidores que compren solo dispositivos certificados por Google y que apliquen actualizaciones de seguridad regulares.' El grupo de investigación de seguridad Talos de Cisco actualizó la guía de protección empresarial contra BadBox 3.0.
La Federal Trade Commission (FTC) estadounidense emitió un aviso al consumidor; compartió una lista de dispositivos Android falsos por menos de 50 dólares disponibles en plataformas de comercio electrónico como Amazon, eBay y Walmart. Andrew Ferguson, sucesor de la comisionada Lina Khan, dijo en un comunicado: 'Llamamos a los consumidores a ser cautelosos al comprar dispositivos baratos; estamos preparando un nuevo marco regulatorio sobre auditorías de seguridad de la cadena de suministro.'
Por el lado turco, la Autoridad de Tecnologías de Información y Comunicación (BTK) emitió un aviso al usuario contra BadBox 3.0. El vicepresidente de la BTK, el Dr Omer Abdullah Karagozoglu, dijo: 'Entre los dispositivos afectados por BadBox 3.0 pueden encontrarse modelos baratos de cajas Android TV que entran en Turquía; es importante que los usuarios prefieran dispositivos certificados.' La BTK también anunció un plan para reforzar el control aduanero de tales dispositivos Android falsos que entran en Turquía.
La operación BadBox 3.0 constituye un hito en las investigaciones internacionales de ciberdelincuencia. Los datos forenses obtenidos tras la operación ayudarán a entender la estructura del ecosistema global de ciberdelincuencia. Europol dijo que la inteligencia obtenida de la operación BadBox 3.0 también contribuiría al desmantelamiento de otras botnets y redes de fraude. Se aconseja a los consumidores ser cautelosos al comprar dispositivos Android baratos, aplicar actualizaciones de seguridad regulares y preferir dispositivos certificados por Google Play Protect. Este artículo no sustituye un consejo individual de ciberseguridad; en casos de sospecha seria, se debe consultar a profesionales de la seguridad de la información.