La Guardia Civil española ha arrestado a tres individuos acusados de controlar la red zombi Mariposa, que tenía bajo su control casi 13 millones de ordenadores infectados.
Los delincuentes activaron la red en diciembre de 2008 y un grupo de expertos la desactivó en diciembre de 2009, aunque aún existen ordenadores infectados. Algunos expertos afirman que los 12,7 millones de ordenadores zombi que llegó a controlar la convierten en una de las redes más grandes del mundo.
Mariposa infectaba los ordenadores vulnerables con un programa troyano que registraba las teclas que pulsaba el usuario. Esto le permitía robar los datos privados de los internautas, como sus números de tarjeta de crédito y contraseñas, y ponerlos en manos de los delincuentes.
Se cree que entre las víctimas de la red zombi se encuentra más de la mitad de la lista de las 1.000 empresas más poderosas según la revista Fortune y 40 de los principales bancos del mundo.
Un grupo informal de expertos en seguridad se unió para crear el Mariposa Working Group y combatir esta amenaza. En diciembre del año pasado, los miembros del grupo lograron derrumbar los servidores de comando y control de Mariposa, y enviaron información sobre la red a la Guardia Civil española y a las autoridades estadounidenses para ayudarles a identificar a los criminales y llevarlos ante la justicia.
Las autoridades lograron recolectar suficiente evidencia para arrestar en enero al primer sospechoso. Además, el Grupo de Delitos Telemáticos de la Guardia Civil arrestó a dos sospechosos más la semana pasada. No se ha revelado la identidad de los acusados, pero sí se revelaron los alias que utilizaban en Internet y sus respectivas edades: “netkairo”, 31; “jonyloleante”, 30; y “ostiator”, 25.
Los tres sospechosos son ciudadanos españoles, y la policía aseguró que no encajan con el típico perfil de los delincuentes virtuales, pues tienen poco conocimiento de informática. Por esta razón, los criminales tuvieron que solicitar la ayuda de otros piratas para construir y operar la red zombi.
Los acusados enfrentan una condena de hasta seis años de prisión. Además, es muy probable que este sea sólo el principio de una serie de arrestos a los operadores de esta red criminal.
¿Quiénes son Ostiator, Jonyloleante y Netkairo?
Un vasco, un gallego y un murciano, de entre 25 y 31 años, compraron en el mercado negro un programa "malicioso" que mediante técnicas tipo troyano les permitía acceder a millones de ordenadores en 190 países. Son Netkairo, residente en Balmaseda (Vizcaya) 31 años. Ostiator, de Santiago de Compostela, 25 años. Y Johnyloleante, vecino de Molina de Segura (Murcia), 30 años. Bajo estos alias se escondían los administradores de la red de ordenadores zombies (controlados a distancia) más grande conocida. Controlaban 13 millones de ordenadores y traficaban con sus datos personales y bancarios.
El jefe máximo de la red responde a las iniciales F.C.R., de 31 años, y se hacía llamar Netkairo o Hamlet1917 y fue detenido en Balmaseda (Vizcaya). Las iniciales de Ostiator, compostelano, son J. B. R., de 25 años, y el tercer detenido, J.P.R., de 30 años, usaba el nick de Johny Loleante y residía en Molina de Segura, en Murcia. Los tres se encuentran en libertad con cargos tras haber sido detenidos no por haber diseñado esta red cibercriminal, sino por utilizarla, aunque no llegaron a realizar el enorme ataque informático que su equipo permitía.
El grupo infectó a alrededor de 200.000 equipos sólo en España, y obtenía sus ganancias alquilando la red a otros delincuentes y a través del fraude publicitario: redireccionaban los ordenadores infectados a publicidad de sus propias páginas, cobrando grandes cantidades de Google Adsense.
Entre las víctimas están más de la mitad de las mil mayores empresas del mundo, a cuyos datos accedían aprovechando la vulnerabilidad del Internet Explorer, o también por memórias USB, del envío de enlaces infectados a través de por mensajería instantánea infectados.
Pero, aunque esta red, llamada Mariposa, es la mayor de las desactivadas hasta ahora, un portavoz del departamento de Justicia norteamericano advierte que "sólo se trata de la punta del iceberg". El sumario está siendo instruído por el juez Garzón de la Audiencia Nacional.
Netkario, Ostiator y Johnyloleante eran los alias que empleaban los tres arrestados, que vivían con todo tipo de lujos gracias a los ingresos que obtenían con el fraude publicitario y alquilando la red a ciberdelincuentes. Además, también podrían haber realizado fraudes de forma directa, tal y como denuncia públicamente en su momento un cibernauta sobre una estafa en internet que podría haber cometido Ostiator con su otro nick, hamlet1917.
Los detenidos no diseñaron la red zombie. Ellos sólo compraron el programa en el mercado negro para ganar dinero administrándolo desde sus casas.
En este caso, sin embargo, los tres jefes de la red no eran expertos en informática. ¿Quiénes eran, en realidad? Insomnia ha rastreado sus nicks en Google y esto es lo que ha encontrado:
Ostiator: "Creo que tenía la mejor colección porno de La Coruña"
Gondar_f, moderador del foro de Hackhispano, habla de Ostiator, al que conoce por comentarios de amigos:
Ostiator era gallego, yo no lo conocia personalmente, pero si me tienen hablado de él un colega de Villagarcía que parece ser que es amigo. Dice que era la repolla, controlaba de todo (SO, programación, viri...) y que tenia dinero a manos llegas con un pequeño negocio en la red que gestionaba (¡¡mira cuál era!!). Además parece ser que tenia la mejor colección porno de La Coruña. Ese nick (Ostiator o hamlet1917) no creo que sea muy común, supongo que es del que me hablaban. El lunes que viene voy a verlo y le voy a decir a ver si es su amigo al que pillarón.
Jonyloleante: No lo conoce nadie en su pueblo
Publicado en la edición online de La Verdad, un pequeño artículo habla del sorpresón que se han llevado los vecinos de Jonyloleante:
«Sólo salimos en las noticias 'pa' cosas malas», comentaba ayer más de un vecino de Molina de Segura a las pocas horas de trascender que el tercer detenido de la red Mariposa reside en esta localidad. Los molinenses aún tienen presente que el pasado fin de semana fueron portada dos de sus vecinos 'cazados' por un radar a 237 y 233 kilómetros por hora. Todo un récord. Ayer le tocaba el turno al tal Jonhy Loleante, un 'nick' tras el que está J.P.R. de 30 años. «¡Menudo apodo ha elegido el liante éste!», señalaba otro vecino.
¿Pero quién conoce a Loleante? Parece que nadie. A algunos gerentes de tiendas de informática les sonaba el nombre, pero en realidad nadie ha podido identificarlo, ni siquiera las fuentes policiales consultadas en el municipio.
Lo que sí tienen claro es que Loleante es «un verdadero hacker, pues el que lo es realmente no lo va diciendo», señala un informático. Sin embargo, no se trata de un gran experto porque, según la policia, Johny y sus dos socios no diseñaron la red, sino que la compraron. Los vecinos manifestaban gran sorpresa conforme iban conociendo más detalles, sobre todo por el alcance internacional de la red. «Parece mentira que un zagal del pueblo se meta en esos berenjenales», decía un hombre mayor del Llano. Eso sí, la gente también tiene claro que quien la hace, la paga, aunque sea del pueblo. «Lo mismo tenían mis datos», comentaba el regente de una tienda de informática.
Netkairo: "Intentó estafarme usando Paypal: ni aún en España puedes fiarte"
Un cibernauta denuncia un intento de estafa de Netkairo:
Hoy han intentado estafarme con un pago realizado por Paypal, la cuenta era perteneciente a un usuario con domicilio en Estados Unidos y el estafador queria que le entregara el paquete en España.
Nunca hubiera aceptado mandarlo a una direccion que no es la misma que la registrada en Paypal, pero de todas formas el propietario de la cuenta ha impugnado el pago porque se habia dado cuenta que habian usado su cuenta sin autorización.
