El grupo de ransomware Crypto24, que atacó al Banco Hipotecario del Uruguay (BHU), asegura que su próximo objetivo es “el núcleo de la economía uruguaya”. Lo reveló en una entrevista a RadarIA el especialista en ciberinteligencia Mauro Eldritch, la única que el grupo concedió, según el autor, y que forma parte de su libro Encriptar, Filtrar, Hackear, recientemente publicado.
El libro, de 413 páginas e ilustrado por el artista de cómics Germán Pasti, reúne 32 conversaciones directas con actores de amenazas y hackers: líderes y operadores de grupos de ransomware como LockBit, DragonForce, Vice Society y Crypto24, figuras como Gary Bowser y miembros de colectivos de la escena warez –la distribución de software pirateado– como ParaDox y Razor1911.
El libro surgió del propio trabajo de Eldritch, que lo pone en contacto frecuente con atacantes. “Se generaron esas entrevistas y dije: ‘Creo que esto valdría la pena recopilarlo’”, explicó, consultado por El Observador. La idea, según dijo, era “mostrar también el lado humano, que son gente que habla, qué sueñan, qué miedos tienen, qué objetivos tienen en la vida”.
Lo que dijo Crypto24 sobre el ataque al BHU
El ataque al BHU es, según Eldritch, “uno de los más grandes a nivel Sudamérica”. “A un banco de este nivel no ha habido casos de ese tipo; menos de ransomware”, dijo. El ransomware es un tipo de ataque en el que los delincuentes cifran o roban la información de una institución y piden un rescate para no publicarla.
También cuestionó cómo se gestionó el incidente: “Un manejo tan desproporcionado, por no decirte desprolijo”.
Según el relato de Eldritch, los integrantes de Crypto24 tenían una expectativa muy alta por el rescate, porque sabían que tenían en su poder “básicamente la información de cualquier persona que haya pasado por el banco en cualquier momento de su historia”.
Lo que descolocó a los atacantes fue la reacción de la institución. “Nos sorprendió cómo lo manejaron, nos sorprendió que no se pusieran en contacto, nos sorprendió que negaran todo públicamente”, le dijeron al investigador, según contó.
La conversación con el grupo fue corta. “Hay actores que se explayan más, hay otros que van como más al hueso”, explicó Eldritch.
Esta es la entrevista que Eldritch le hizo al grupo y que se publica en el libro:
¿Qué les dejó el incidente del Banco Hipotecario del Uruguay?
Este incidente del BHU nos decepcionó mucho. Parece que calculamos mal la postura del gobierno uruguayo y el cumplimiento de sus políticas.
¿Cambió algo en sus planes después de eso?
Hemos preparado un nuevo ataque más fuerte y más sofisticado, y ajustado muchos de nuestros planes debido a esto.
¿Cuál es el objetivo de ese nuevo ataque?
Esta vez vamos a dar un golpe más preciso y más grande para poner a prueba los límites del gobierno. Pero parece que llevará mucho tiempo. Nos volveremos a ver en ese momento de éxito.
¿Su objetivo sigue siendo el sistema bancario del Uruguay?
No. Nuestro objetivo es el núcleo de la economía uruguaya.
¿Algo más que quisieran agregar?
Esperamos ver el límite de la política del gobierno uruguayo.
Cómo consigue que los atacantes hablen
Eldritch trabaja en inteligencia de amenazas, que según explicó consiste en “adelantarse a lo que quiere hacer la gente mala”, es decir, quienes buscan dañar a compañías. “Parte del trabajo incluye ver qué están haciendo, qué están tramando, qué están comprando, qué están vendiendo, a qué industrias están buscando”, detalló.
Aunque trabaja para empresas, se define como hacker de profesión. “Hablamos el mismo idioma. La única diferencia es que es algo contractual: a mí me pagan para que ellos no entren y a ellos alguien les paga para entrar. No hay un odio personal”, dijo.
Muchas veces son los propios ciberdelincuentes quienes lo contactan después de leer sus reportes sobre el malware que desarrollan. Según contó, le escriben cosas como “buen trabajo, es exactamente lo que estaba haciendo” o “vas bien encaminado, pero te faltaron cosas”.
La confianza se construye también con lo que no se pregunta. “Saben que no les vas a preguntar de qué país sos, dónde te estás escondiendo”, explicó. Y algunos atacantes, según relató, quieren hablar porque formaron parte de grupos que desaparecieron sin que nadie contara su historia, y ahora quieren contarla.
Para validar identidades, recurre a los contactos oficiales de los grupos o a canales de negociación abiertos con clientes anteriores. Su planteo ante ellos es: “Vos sabés quién soy yo, sabés todo de mí, soy una persona pública; yo de vos no sé nada”.
Con LockBit, al que define como “el depredador más grande del ecosistema de ransomware” y que atacó a varias compañías portuarias en Uruguay, fue más difícil. Según Eldritch, el responsable del grupo quería saber que varias personas lo conocían o que tenía cierta reputación antes de aceptar la entrevista.
El grupo venía de “una situación muy especial con el FBI, que les había robado varios servidores”. Según Eldritch, LockBit estaba en un “tira y afloje” entre no esconderse y no hablar de más.
Las motivaciones de los atacantes varían. Según el autor, muchos le cuentan que empezaron “como una cosa entre amigos”, que empezaron a hacer plata, les gustó y los corrompió. Otros tienen fines políticos: los integrantes de GhostSec le dijeron que quieren “impartir justicia ante la injusticia”.
Sobre las víctimas, los ciberdelincuentes le relataron casos de regateo y de empresas que decían no tener dinero. Según contó, algunos grupos tienen auditores contables y, con los archivos de contaduría robados, les mostraban a las víctimas dónde estaba la plata, y “la plata aparecía”.
Todas sus entrevistas terminan con el mismo pedido: “Contame un secreto, lo que quieras”. Alejandro Cao de Benós, representante de Corea del Norte en el exterior, le respondió que muchos juegos de rol en línea fueron parcial o totalmente desarrollados por norcoreanos, según relató Eldritch.
Eldritch participará en el Foro Cyber de la Organización de los Estados Americanos (OEA) con la charla Sanctions on Payroll, sobre “qué pasa cuando estos norcoreanos buscan trabajo en tus compañías y cuáles pueden ser las consecuencias”.