Vitalii Kovalev, el hacker ruso que tiene oficinas y reparte bonus entre sus empleados

Muy pocos le ponían cara. Ni siquiera nombre, más allá de los seudónimos Stern o Ben. Una reciente operación policial internacional ha dejado al descubierto a Vitalii Nikolaevich Kovalev, de 36 años, el cabecilla de Conti, una de las mayores redes de cibercriminales del mundo. Está especializado en ransomware, un tipo de programa informático que secuestra los equipos y pide recompensas a cambio de liberarlos. De los ordenadores de Kovalev ha salido Trickbot, unos de los ransomware más frecuentes en España y que, según se sospecha, puede haber afectado al 4% de todas las empresas del mundo. La policía de EE UU y de Alemania creen que Kovalev vive en Moscú, donde tiene registradas varias empresas a su nombre, y que posee un monedero de criptomonedas por valor de 1.000 millones de dólares.

Según la Oficina Federal de Policía Criminal de Alemania (BKA), Conti “llegó a tener más de 100 miembros y operaba de forma organizada, jerárquica y orientada a proyectos y al lucro. El grupo es responsable de infectar cientos de miles de sistemas en todo el mundo, y obtuvo cientos de millones de euros mediante sus actividades ilegales”. Entre sus víctimas se cuentan organismos públicos, empresas y particulares. En 2020, en plena pandemia, atacaron varios hospitales estadounidenses y pidieron rescates de 10 millones de dólares.

Gracias a una investigación de la empresa de análisis de ciberseguridad Check Point Research, que tuvo acceso a documentos internos aportados por un presunto infiltrado, se conocen muchos detalles de Conti. Se podría decir que está organizada como una empresa tecnológica. Tiene una estructura bien definida y jerarquizada, en cuya cúspide estaría Kovalev, en la que los responsables de equipo responden ante los directores de área. Cuenta con un departamento de recursos humanos encargado de las contrataciones, de pagar salarios (en bitcoins) y de repartir bonus a los empleados del mes. Hasta tiene varias oficinas físicas.

Reclutaban a personal no solo a través de anuncios en la dark web, o internet oscura, sino también haciendo ofertas de empleo a perfiles previamente identificados tras analizar montones de currículos robados. Tienen en nómina a programadores, ingenieros informáticos, criptógrafos, administradores de sistemas, especialistas en inteligencia y personal de negociación. “Algunos empleados ni siquiera saben que trabajan para una banda de cibercriminales”, destaca CheckPoint. En una entrevista de trabajo online a la que tuvo acceso el laboratorio de este grupo de ciberseguridad, el gestor le dice al aspirante que “todo es anónimo aquí, esta empresa se dedica a hacer pruebas de penetración”, o poner a prueba la seguridad de los sistemas con ataques controlados.

Kovalev y los otros 35 presuntos delincuentes identificados por el operativo policial, bautizado como operación Endgame (fin del juego), están acusados de haber desarrollado Qakbot y Danabot, dos de las amenazas más conocidas y analizadas en el panorama global del cibercrimen. Tras años de investigación, agentes de EE UU, Reino Unido, Canadá, Dinamarca, Países Bajos, Alemania y Francia han logrado identificar a las figuras clave detrás de estas herramientas.

Un antes y un después en el ‘ransomware’

“Qakbot, en particular, es uno de los troyanos bancarios más antiguos y sofisticados, activo desde 2007, y ha ido ampliando sus capacidades con el tiempo para incluir funciones como el robo de credenciales, la exfiltración de correos electrónicos y la distribución de ransomware”, explica Mar Rivero, responsable de investigación de seguridad de Kaspersky. Los hackers de estos grupos criminales han usado Qakbot como vía para introducir ransomware altamente destructivo, como Conti o REvil. “Uno de sus mayores hitos fue su participación en cadenas de infección que afectaron a organismos gubernamentales y entidades financieras en EE UU y Europa, provocando pérdidas millonarias y la paralización de operaciones críticas”, añade Rivero.

Se creía que Qakbot quedó desarticulada en 2023, tras otra operación policial internacional liderada por EE UU. Pero a finales de ese mismo año salió una nueva versión de este troyano, un tipo de virus informático que se hace pasar por un programa legítimo para acceder a los sistemas objetivo. La víctima recibe un email que supuestamente es de su banco con un enlace de descarga. Una vez instalado el software, empieza a ejecutar operaciones sin que el usuario se entere. Los atacantes no tardan en hacerse con las contraseñas de acceso al banco o incluso con el control del propio dispositivo. Pese a los continuos esfuerzos de la policía, Qakbot lleva 15 años evolucionando.

Danabot, por su parte, es mucho más reciente. Activo desde 2018, se promociona en forma de malware como servicio (MaaS), lo que “permite a muchos delincuentes, incluso sin conocimientos avanzados, introducirse en el mundo del cibercrimen, ya que les proporcionan todo lo necesario a cambio de cantidades de dinero muy asumibles”, ilustra Josep Albors, director de investigación de ESET España.

Se sabe que se usó Danabot en un ataque exitoso de denegación de servicio (DDoS), que consiste en bloquear la web objetivo con un aluvión de comunicaciones, contra el Ministerio de Defensa de Ucrania poco después de la invasión rusa. “Se ha usado tanto para el fraude financiero como para lanzar ataques en favor de los intereses de Estado de Rusia. Es un buen ejemplo de cómo una infraestructura criminal puede usarse tanto para obtener beneficios económicos como para perseguir objetivos geopolíticos”, dice Adam Meyers, director de operaciones contra amenazas de CrowdStrike.

Por su impacto y su facilidad de uso, “puede decirse que Qakbot y Danabot han transformado de forma significativa el panorama de las ciberamenazas”, asegura por su parte Jaimie Williams, investigador principal de amenazas de inteligencia en Palo Alto Networks. “Han permitido escalar la actividad maliciosa a niveles que antes eran inalcanzables para actores individuales”.

Serpiente de varias cabezas

Los portavoces de la operación Endgame aseguran que han desarticulado la red de hackers que estaba detrás de estos sofisticados ransomwares, lo que incluye el desmantelamiento de 300 servidores (los ordenadores que dan servicio a otros, el hardware en el que se ejecuta una web) y 650 dominios (direcciones únicas de webs) y la intervención de más de tres millones de euros en criptomonedas. “Tanto Danabot como Qakbot eran malware como servicio, lo que significa que desmantelar su infraestructura afecta no solo a sus propias actividades delictivas, sino también a todos los que utilizaban estas herramientas. Ahora han perdido el acceso a los ordenadores que ya habían comprometido y que gestionaban mediante estos programas”, ilustra Geri Revay, investigador principal de seguridad de FortiGuard Labs.

Pero localizar a los responsables de la trama no es lo mismo que acabar con ella. El mundo del cibercrimen es especialmente escurridizo. Sobre todo si tiene Estados que les apoyan. De los 36 individuos identificados por la operación Endgame, 20 tienen emitida una orden internacional de detención, y sobre los otros 16 pesan acusaciones del Departamento de Justicia de EE UU. Pero como la gran mayoría reside en Rusia, hay pocas probabilidades de que sean arrestados. “Estas bandas suelen estar en países que no tienen acuerdos de extradición y que no colaboran con Europol, Interpol o con el FBI. Hasta que no cometen un fallo es muy complicado poder cazarlos”, explica Rafael López, ingeniero de seguridad de Check Point Software. Pero esos fallos suceden. El año pasado, uno de los responsables de Lockbit, otro ransomware, fue detenido por la Guardia Civil en el aeropuerto cuando venía a España de vacaciones.

Moscú protege a estos presuntos delincuentes, además, porque, aparte de buscar su propio lucro, suelen realizar operaciones cibernéticas en defensa de los intereses de Rusia, tal y como se ha visto con la guerra de Ucrania. Pero, incluso si se llegaran a producir detenciones, es difícil acabar con uno de estos grupos. “Muchas bandas de ransomware tienden a resurgir tiempo después. A menudo cambian de nombre para seguir operando”, apunta Javier Vicente, investigador de amenazas de Zscaler.

Con todo, los responsables del operativo internacional que ha destapado a los autores de Qakbot y Danabot consideran que, solo con ponerle nombre a los máximos dirigentes de las bandas, dificultan su trabajo y les impiden entrar y salir de Rusia. “El anuncio de hoy del Departamento de Justicia envía un mensaje claro a la comunidad de cibercriminales”, dijo Matthew R. Galeotti, responsable de la División Criminal del Departamento de Justicia, el pasado 22 de mayo, cuando se reveló el operativo. “Estamos decididos a hacer que los ciberdelincuentes rindan cuentas y utilizaremos todas las herramientas legales a nuestro alcance para identificarlos, procesarlos, confiscar sus ganancias ilícitas y desbaratar sus actividades delictivas”, añadió.

Mientras EE UU y otros países dedican años a rastrearle a él y a sus colegas, Kovalev sigue siendo un ciudadano anónimo y millonario en Moscú que dirige una empresa dedicada al cibercrimen.