Asesoría conjunta de CISA y NCSC-UK destaca la expansión encubierta de botnets

Cómo los sindicatos del cibercrimen están evolucionando y alimentando amenazas de botnets a gran escala

Conclusiones

• CISA y el NCSC-UK han emitido un aviso conjunto destacando el aumento de las redes de botnet encubiertas, particularmente impulsadas por sindicatos de ciberdelincuencia con sede en China.
• Los grupos de ciberdelincuentes están pasando de una infraestructura gestionada individualmente a aprovechar redes a gran escala de dispositivos comprometidos, lo que hace que los ataques sean más difíciles de rastrear y más masivos en escala.
• Actores de amenazas notables como Volt Typhoon y Flax Typhoon están utilizando cada vez más redes de botnets encubiertas y mantenidas profesionalmente, a menudo gestionadas por empresas de seguridad de la información chinas.
• Las botnets se están expandiendo rápidamente al explotar dispositivos tanto de clientes particulares como corporativos, lo que permite ataques de denegación de servicio distribuido (DDoS) más poderosos y otras amenazas.

Lo que dice el aviso conjunto

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ha emitido un aviso que destaca un cambio amplio por parte de los sindicatos de ciberdelincuentes con sede en China hacia redes encubiertas. Estas redes dificultan la identificación de la fuente de los ataques y permiten ataques a mayor escala.

Publicado conjuntamente con el Centro Nacional de Seguridad Cibernética del Reino Unido (NCSC-UK) en colaboración con la Liga Cibernética del Reino Unido, el informe detalla cómo los sindicatos de ciberdelincuentes están alejándose de la infraestructura adquirida individualmente en favor de redes a gran escala de dispositivos comprometidos que se utilizan para crear botnets masivos.

¿Quién está utilizando estas redes?

El NCSC dijo que sus analistas creen que la mayoría de los actores de amenazas con conexión a China, como Volt Typhoon y Flax Typhoon, están utilizando ahora estas redes encubiertas. De hecho, el informe sugiere que los actores de amenazas están compartiendo estas redes encubiertas que ahora se mantienen profesionalmente en su nombre.

Específicamente, el informe alega que botnets encubiertos están siendo mantenidos por proveedores de servicios de seguridad de la información con sede en China. Por ejemplo, un botnet Raptor Train, que en 2024 infectó más de 200.000 dispositivos en todo el mundo, fue controlado y gestionado por Integrity Technology Group, con sede en China, según el informe. La Oficina Federal de Investigaciones (FBI) en los Estados Unidos ha determinado por separado que la misma empresa es responsable de las actividades de intrusión informática atribuidas al sindicato Flax Typhoon.

El hecho de que los grupos de ciberdelincuentes estén aprovechando tanto los dispositivos de consumo como los corporativos inseguros para crear botnets no es nada nuevo, pero el nivel de escala de los botnets que se están creando sigue aumentando rápidamente, como, por ejemplo, los ataques de denegación de servicio distribuido (DDoS) continúan expandiéndose. Los grupos de ciberdelincuentes no van a invertir en la infraestructura necesaria para lanzar ciberataques a gran escala, especialmente cuando otros recursos ahora están disponibles de forma gratuita.

Cómo mitigar los riesgos de botnet

La única manera de frustrar eficazmente esos esfuerzos es que las organizaciones primero mapeen sus dispositivos de red para entender mejor cómo están expuestos a internet. Como mínimo, esos dispositivos deberían estar conectados a redes privadas virtuales (VPN) u otros servicios similares para aplicar políticas de permiso de direcciones IP más granulares en lugar de depender de listas de denegación, señaló el aviso.

Además, la recomendación del asesor es implementar políticas de "zero trust" para las conexiones, que requieren certificados de máquina para conexiones de Secure Sockets Layer (SSL) y aplicar técnicas de aprendizaje automático para perfilar la actividad normal en los extremos de la red y así identificar mejor comportamientos anómalos.

Finalmente, se aconseja a los equipos de ciberseguridad considerar el uso de fuentes de inteligencia de amenazas para rastrear redes encubiertas con conexión a China como un tipo de amenaza persistente avanzada (APT) que requiere medidas específicas para frustrarlas.

Esperemos que llegue un día en el que los dispositivos de consumo no sean tan fáciles de incorporar a una red de bots como lo son hoy en día. Mientras tanto, sin embargo, los equipos de ciberseguridad deben partir de la base de que las redes de bots no harán más que seguir creciendo, ya que cada día que pasa se conectan a Internet más dispositivos inseguros y fáciles de comprometer.