Condenan al cerebro de una botnet que facturó millones a empresas estadounidenses con BitPaymer

El veredicto contra uno de los operadores detrás de una gigantesca red de phishing deja en claro que las investigaciones internacionales pueden alcanzar a los cerebros de las operaciones cibernéticas, incluso cuando están radicados fuera de Estados Unidos. Ilya Angelov, un ciudadano ruso de 40 años conocido en la red por los alias "milan" y "okart", fue sentenciado a dos años de prisión tras admitir que la botnet que ayudó a dirigir se utilizó para facilitar ataques de ransomware BitPaymer contra decenas de empresas estadounidenses.

Los documentos judiciales muestran que Angelov no actuó en solitario: formó parte de un equipo al que el FBI llamó "Mario Kart" y que los analistas de seguridad han identificado con nombres como TA551, Shathak, GOLD CABIN, Monster Libra, ATK236 y G0127. En esa estructura, los líderes reclutaban y coordinaban a desarrolladores de malware, operadores de campañas de spam y especialistas que adaptaban las muestras maliciosas para evadir defensas. El resultado fue una infraestructura capaz de enviar cientos de miles de correos maliciosos y convertir ordenadores comprometidos en piezas de una botnet comercializable.

Según la fiscalía, la campaña de spam pudo alcanzar picos de hasta 700.000 correos al día, y en sus momentos más activos la red podía infectar unas 3.000 máquinas por día. Los equipos infectados se alquilaban o vendían a otros actores delictivos: era la pieza de entrada del ecosistema de Ransomware-as-a-Service (RaaS). El Departamento de Justicia detalla que más de setenta empresas estadounidenses resultaron infectadas por afiliados que emplearon acceso vendido por este grupo, y que las extorsiones relacionadas superaron los 14 millones de dólares. Los lectores pueden consultar el comunicado oficial del DOJ para más contexto en el sitio del Departamento de Justicia y revisar los documentos judiciales públicos en DocumentCloud.

La actividad criminal atribuida a este grupo se extendió entre 2017 y 2021. Entre agosto de 2018 y diciembre de 2019, varias intrusiones vinculadas a la red permitieron la infección con BitPaymer, un ransomware que ha asolado empresas mediante cifrado y exigencias de pago. Además, otros actores como el grupo vinculado al troyano bancario IcedID llegaron a pagar alrededor de un millón de dólares al equipo de Angelov por el acceso a sus bots entre finales de 2019 y agosto de 2021, lo que ilustra cómo estas economías ilícitas se alimentan unas a otras.

El caso también muestra la complejidad de las alianzas entre criminales: operadores de campañas de phishing como TA551 han colaborado históricamente con bandas que distribuyeron Conti u otros ransomware a través de infraestructuras como TrickBot o QakBot/Qbot, y han contribuido a la entrega de familias como ProLock, Egregor o DoppelPaymer, según alertas y análisis de equipos de respuesta y empresas de seguridad. Para entender mejor la amenaza del ransomware y cómo se integran estos actores, resulta útil revisar análisis de seguridad y advertencias públicas; por ejemplo, la página del FBI sobre el fenómeno del ransomware ofrece recursos y contexto general sobre la amenaza: FBI — ciberinvestigaciones.

La comparecencia y el acuerdo de Angelov tuvieron matices geopolíticos: el acusado decidió viajar a Estados Unidos para entregarse y declararse culpable después de la invasión rusa a Ucrania en 2022 y tras la detención en Suiza de un colaborador relacionado con la banda IcedID. Este tipo de movimientos ponen sobre la mesa cómo los cambios en el contexto internacional y las acciones policiales en terceros países pueden alterar la ecuación de riesgo para los presuntos delincuentes digitales.

En paralelo, otro caso reciente que recuerda la función del llamado initial access broker (corredor de acceso inicial) es la condena de Aleksey Olegovich Volkov, quien recibió casi siete años de prisión por vender acceso a redes que luego fueron explotadas por el ransomware Yanluowang. Estos procesos subrayan que no solo quienes ejecutan el cifrado directamente son perseguibles; también lo son quienes generan y trafican el acceso inicial que permite los ataques.

¿Qué implica todo esto para empresas y usuarios? Primero, que la cadena criminal que facilita el ransomware es sofisticada y modular: hay equipos especializados en phishing, otros en desarrollo de malware y otros en negociación de pagos y blanqueo. Segundo, que la intervención judicial y la cooperación internacional pueden golpear esa cadena, pero no la eliminan por completo. Por ese motivo es crítico que las organizaciones fortalezcan medidas preventivas básicas y efectivas: controles de correo, segmentación de redes, copias de seguridad verificadas, monitorización de actividad anómala y planes de respuesta. Agencias como la CISA mantienen guías prácticas para mitigar y recuperarse de ataques de ransomware.

Este caso es un recordatorio de que, en la batalla contra el cibercrimen, la tecnología y la cooperación legal deben ir de la mano. Los operadores se adaptan y buscan nuevas vías de monetización, pero la combinación de inteligencia técnica, investigaciones transfronterizas y acumulación de casos judiciales demuestra que existe una vía para responsabilizar a quienes organizan y permiten la extorsión digital. Para quienes gestionan seguridad en empresas, la lección es clara: la prevención y la preparación no son opcionales, y la vigilancia sobre cómo un simple correo puede convertirse en la puerta de entrada a un incidente que cuesta millones debe formar parte de la estrategia corporativa.

Para ampliar información sobre el caso y los documentos oficiales, consulte el comunicado del Departamento de Justicia y el expediente en DocumentCloud indicados arriba, así como reportes especializados que han cubierto la noticia y el entramado delictivo, por ejemplo en BleepingComputer.