Por: Steven Masada, asesor jurídico adjunto, Unidad de Crímenes Digitales de Microsoft.

Microsoft ha adoptado un nuevo enfoque para combatir el ciberdelito, dirigiéndose a la cadena de suministro de ciberataques, no solo a los servicios individuales. En un caso que se ha desvelado de manera reciente, atacamos de manera simultánea dos herramientas de ciberdelincuencia utilizadas de manera amplia, Amadey y StealC, después de que un análisis asistido por IA revelara que dependen de la misma infraestructura.

Esta acción va tras la «cadena de montaje» del cibercrimen, donde herramientas coordinadas impulsan ransomware, fraudes financieros e interrupciones en los servicios públicos. Amadey y StealC se usan a menudo juntos: Amadey ayuda a los atacantes a acceder a dispositivos, mientras que StealC roba contraseñas e información sensible. Juntos, forman un eslabón crítico en la cadena. Solo en las dos primeras semanas de mayo, Amadey y StealC se vincularon a más de 140.000 ordenadores infectados en todo el mundo, lo que pone de manifiesto la amplitud con la que se utilizan.

En nuestro trabajo con Europol y socios industriales, nos dirigimos a ambas herramientas a la vez. El objetivo: romper la cadena. Desde el inicio de la operación, Microsoft ha identificado más de 18.000 ordenadores víctimas, ha cortado el control criminal de esos dispositivos y colabora con proveedores de telecomunicaciones para ayudar a proteger a los clientes afectados a nivel mundial.

Cuando varias partes de una operación se ven interrumpidas juntas, los ataques son más difíciles de lanzar, escalar y recuperarse. El resultado: menos servicios interrumpidos, menos oportunidades para que los ciberdelincuentes se beneficien y más fricciones cuando intentan reconstruirse.

Ya no basta con ir tras las amenazas una a una. Tenemos que interrumpir cómo se organizan los ataques.

¿Qué tiene de diferente esta acción?

Microsoft ha utilizado durante mucho tiempo acciones legales civiles para desestabilizar la infraestructura cibercriminal y fue pionera en el uso innovador de leyes existentes, incluida la Ley de Organizaciones Corruptas e Influenciadas por el Crimen Organizado (RICO, por sus siglas en inglés), una ley estadounidense diseñada para atacar el crimen organizado.

Lo nuevo es cómo combinamos el análisis de IA con un uso ampliado de esa ley.

Amadey y StealC fueron desarrollados por ciberdelincuentes independientes, pero dependían de la misma infraestructura. Para entender cómo funcionaban, los investigadores utilizaron IA, incluido Copilot, para analizar con rapidez el malware, a través de hacer preguntas en inglés sencillo en lugar de revisar de manera manual código complejo. Eso ayudó a sacar a la luz detalles clave, descubrir datos ocultos y probar resultados en una fracción del tiempo, para convertir lo que habría llevado horas o días en minutos y permitir al equipo detectar conexiones más rápido.

Esas conclusiones permitieron al equipo legal tratar ambas familias de malware como parte de una sola conspiración. En lugar de ir tras cada herramienta por separado, como hemos hecho en el pasado, usamos RICO para acusar a múltiples facilitadores cómplices implicados en toda la operación. En total, la Unidad de Crímenes Digitales de Microsoft interrumpió más de 200 servidores de mando y control, los sistemas que los delincuentes utilizan para controlar dispositivos infectados, robar datos y mantener los ataques en marcha.

Al agrupar las herramientas, podemos interrumpir la cadena del cibercrimen de manera más eficiente y eficaz, de una forma que refleje mejor cómo funcionan en realidad estas redes hoy en día.

El cibercrimen ahora funciona como una cadena de montaje

El cibercrimen ya no es una serie de ataques aislados, es un sistema coordinado.

Herramientas especializadas gestionan cada paso: uno obtiene acceso, otro roba credenciales y otros venden o explotan ese acceso para fraude, ransomware, espionaje u otros fines nefastos. Diferentes actores pueden estar involucrados en cada etapa, pero juntos convierten el acceso en beneficio, con rapidez y a gran escala.

Esa estructura también crea un punto de vulnerabilidad. Las personas detrás de estas herramientas cibercriminales quizá nunca interactúen de manera directa, pero sus herramientas están diseñadas para funcionar juntas. Si se pueden identificar esas conexiones, se pueden interrumpir múltiples fases de un ataque a la vez.

Cómo se desarrollan estos ataques en el mundo real

La mayoría de la gente nunca oirá los nombres Amadey o StealC, pero sienten los efectos. Un hospital bloqueado de sistemas críticos. Una ciudad incapaz de ofrecer servicios esenciales. Una pequeña empresa que pierde acceso a las cuentas de la noche a la mañana. Un jubilado que perdió todos sus ahorros.

Estos ataques no ocurren todos de golpe. Se desarrollan paso a paso: los atacantes entran, roban contraseñas, el acceso se reutiliza o vende, y a veces se reutiliza para operaciones más específicas. Por ejemplo, Microsoft ha observado al actor afiliado a Rusia Secret Blizzard aprovechar las infecciones de Amadey para desplegar malware personalizado contra objetivos en Ucrania.

Al atacar varios puntos de esa cadena a la vez, reducimos la posibilidad de que un solo compromiso se convierta en un daño generalizado. En resumen: menos ataques tienen éxito y menos personas sienten el impacto cuando lo hacen.

Ninguna organización puede hacer esto sola

Acciones como esta subrayan una realidad fundamental: tenemos éxito cuando colaboramos. Ninguna organización, ya sea gubernamental o industrial, tiene visibilidad completa sobre cómo operan las amenazas cibernéticas a través de fronteras y sectores. Lo que hace que este esfuerzo sea efectivo es la combinación de perspectivas y datos.

Microsoft había seguido a Amadey debido a su impacto en los clientes, se trabajó con socios de ciberseguridad ESET, BitSight, Lumen y Mitsui Bussan Secure Directions (MBSD) para entender mejor cómo funcionaba. Al mismo tiempo, el Centro Europeo de Ciberdelitos (EC3) de Europol, junto con socios europeos de las fuerzas del orden como la Oficina Federal de Policía Criminal de Alemania y la Policía Nacional de los Países Bajos y Daneses, investigaba StealC como parte de la Operación Endgame, junto  con IBM X-Force y Proofpoint.

Reunir esos esfuerzos amplió nuestros conjuntos de datos colectivos y permitió identificar las conexiones entre ambas herramientas y actuar con rapidez sobre ellas. Ese entendimiento compartido permitió una respuesta coordinada que fue más allá de lo que cualquier organización individual podría lograr por sí sola.

Esto demuestra por qué las asociaciones importan. La industria comparte conocimientos técnicos, el gobierno aporta visibilidad y necesitamos formas fiables de intercambiar esa información. Solo si se trabaja desde la misma perspectiva podremos mantenernos por delante de los atacantes, para interrumpir no solo herramientas individuales sino también los sistemas que hacen posible el cibercrimen.

Crear una presión sostenida sobre la ciberdelincuencia

Este trabajo no termina con una sola acción. Los ciberdelincuentes se adaptan con rapidez, por eso mantenemos el seguimiento de la evolución de estas operaciones y colaboramos con socios para interrumpirlas.

La interrupción autorizada por el tribunal de Microsoft en este caso se combina con los esfuerzos continuos para rastrear cómo los ciberdelincuentes reconstruyen, identificar nuevas infraestructuras y trabajar con socios para interrumpir los servicios de los que dependen para operar. También incluye incorporar los hallazgos de esta interrupción en iniciativas como el programa Statutory Automated Disruption de Microsoft, que ayuda a acelerar la eliminación de dominios e infraestructuras maliciosas.

El objetivo no es solo detener una operación, sino ralentizar el propio sistema, para hacer que los ataques sean más difíciles de lanzar, escalar y recuperarse. Al combinar la visión impulsada por IA, acciones legales y sólidas alianzas, podemos seguir con el aumento del coste del cibercrimen y reducir su impacto.

Durante más de una década, la Unidad de Delitos Digitales (DCU) de Microsoft ha trabajado para combatir el cibercrimen y las amenazas de los estados-nación, ha presentado alrededor de 40 casos desde 2008 y colaborado con las fuerzas del orden para desmantelar redes criminales. Descubran más sobre los esfuerzos del equipo aquí.