Europol ha desarticulado el grupo cibercriminal NoName057 en la operación Eastwood, que en los últimos años ha estado detrás de numerosos ataques de denegación de servicio a conocidas webs de empresas y organismos públicos. Debido a su posición prorrusa, elegía objetivos relacionados de alguna forma con la guerra de Ucrania, bien por tener relación con el país o por pertenecer a países que habían declarado su apoyo a Ucrania.

• En el verano del 2023 dejó fuera de línea a dos webs de Telefónica. Sus administradores tuvieron que recurrir a los servicios de Cloudflare para recuperar la disponibilidad de los servidores.
• La web de orange.es también se vio afectada, por lo que la operadora bloqueó temporalmente el acceso desde direcciones IP no españolas.
• La tercera operadora atacada fue Euskaltel, tumbando su web durante la presentación trimestral de resultados.

Otros afectados fueron el Ministerio del Interior, La Moncloa, Correos, el Instituto Nacional de Estadística o la Junta Electoral.

NoName057(16) Intentos de interrupción DDoS a favor de Rusia

Para dejar las webs fuera de línea se realizaban ataques DDoS, enviando de forma coordinada miles de peticiones simultáneas desde diferentes orígenes para agotar los recursos del servidor.

12 viviendas registradas en España

La operación de Europol1 se realizó entre el 14 y el 17 de julio con la participación de autoridades policiales de Francia, Alemania, España y Países Bajos. El día 15 se obtuvieron las autorizaciones judiciales para los registros, dejando más de 100 servidores desconectados. En España se han registrado 12 viviendas e interrogado a 5 personas. Hay 1 detenido y una orden de búsqueda.

NoName057 estaba compuesto por una red de más de 4.000 colaboradores coordinados a través de un canal de Telegram gestionado por 15 administradores, que eran remunerados en criptomonedas por participar en los ataques. Utilizaban el kit de herramientas DDoSia para distribuir la botnet en varios cientos de servidores.

Según los datos de Europol, NoName057 llegó a efectuar 73 ataques al día. En total han sido 5.358 sitios webs de empresas y 674 webs de organismos públicos los perjudicados por sus ataques.

• 5 perfiles de ciudadanos rusos incluidos entre los más buscados

Las autoridades nacionales identificaron a NoName057(16) como una red criminal con motivaciones ideológicas, que ha expresado su apoyo a Rusia y está vinculada a numerosos ataques DDoS en el contexto de la guerra contra Ucrania. Estos ataques consisten en saturar sitios web o servicios online con tráfico excesivo para inutilizarlos. El grupo, que cuenta con más de 4.000 miembros, llegó a construir su propia botnet de varios cientos de servidores para amplificar su capacidad ofensiva.

Para coordinar sus acciones, difundir instrucciones y reclutar nuevos miembros, el grupo utilizó canales prorrusos, foros, redes sociales y aplicaciones de mensajería. El reclutamiento solía realizarse en pequeños círculos a través de contactos en foros de videojuegos o entornos. Herramientas como DDoSia permitía simplificar los procesos técnicos y proporcionar directrices, lo que permitió a los nuevos reclutas comenzar a operar

Además, algunos participantes recibían pagos en criptomonedas, lo que incentivaba su implicación. El grupo empleaba elementos de gamificación, como menciones frecuentes, clasificaciones o insignias, para generar estatus entre los miembros, especialmente entre jóvenes. Esta estrategia, reforzada por una narrativa emocional de apoyo a Rusia o de venganza política, fomentaba la participación continuada de los reclutados en este tipo de ataques.

Fuentes:

https://bandaancha.eu/articulos/cae-noname057-grupo-prorruso-tumbo-webs-11433