Una operación internacional de aplicación de la ley liderada por el Departamento de Justicia de EE. 

El servicio malicioso comprometió miles de routers domésticos y de pequeñas empresas en todo el mundo, permitiendo a los ciberdelincuentes ocultar sus identidades mientras ejecutaban fraudes financieros a gran escala.

El desmantelamiento coordinado resultó en la incautación de docenas de dominios de internet registrados en EE. UU. y la eliminación de la infraestructura de servidores en múltiples países.

Cómo operaba la red SocksEscort

Según documentos judiciales desclasificados, la infraestructura de SocksEscort dependía de desplegar malware directamente en routers de internet vulnerables.

Una vez infectados, estos dispositivos se transformaban silenciosamente en nodos dentro de una enorme red de proxies. Los operadores detrás de SocksEscort vendían luego este acceso a otros ciberdelincuentes.

Al enrutar su tráfico malicioso a través de redes domésticas y empresariales comprometidas, los atacantes podían ocultar sus direcciones IP y ubicaciones físicas reales.

Dado que las direcciones IP residenciales suelen tener una alta reputación de confianza, esta táctica permitía a los atacantes eludir fácilmente los bloqueos geográficos y los filtros de seguridad.

La escala de la operación fue extensa:

• Desde el verano de 2020, SocksEscort ofreció a sus clientes acceso a aproximadamente 369.000 direcciones IP únicas.
• Solo en febrero de 2026, la plataforma listó activamente alrededor de 8.000 routers infectados para su venta.
• Aproximadamente 2.500 de esos dispositivos comprometidos estaban ubicados en Estados Unidos.

El anonimato proporcionado por SocksEscort alimentó graves delitos cibernéticos, incluyendo la toma de control de cuentas bancarias, reclamaciones fraudulentas de seguros de desempleo y robos masivos de criptomonedas.

El impacto financiero en ciudadanos y empresas estadounidenses ascendió a millones de dólares.

Algunos incidentes notables vinculados a la red proxy incluyen:

• Un residente de Nueva York que perdió 1 millón de dólares en una toma de control de su cuenta en un exchange de criptomonedas.
• Una empresa manufacturera de Pensilvania que fue defraudada por 700.000 dólares.
• Personal militar estadounidense actual y retirado que vio cómo les robaban 100.000 dólares de sus tarjetas MILITARY STAR debido a tarjetas comprometidas.

Coordinación global y desmantelamiento

Desarticular la botnet requirió un extenso trabajo en equipo a nivel mundial. El gobierno de EE. UU. incautó dominios relacionados, mientras que las fuerzas del orden en Austria, Francia y los Países Bajos desmantelaron los servidores físicos que sostenían la red SocksEscort.

La Oficina de Campo del FBI en Sacramento, la unidad de Investigación Criminal del IRS y el Departamento de Defensa lideraron la investigación.

También contó con una estrecha colaboración con Europol, Eurojust y autoridades de Alemania, Bulgaria, Hungría y Rumanía.

Investigadores del sector privado de Black Lotus Labs de Lumen y la Shadowserver Foundation proporcionaron inteligencia crucial sobre amenazas para apoyar el desmantelamiento.

Según documentos judiciales, los expertos recomiendan pasos de mitigación para evitar que las redes sean reclutadas en botnets proxy como SocksEscort.

• Actualiza regularmente el firmware de tu router para parchear vulnerabilidades recién descubiertas.
• Cambia todas las contraseñas administrativas predeterminadas por credenciales fuertes y únicas.
• Desactiva las interfaces de gestión remota en routers domésticos para bloquear el acceso externo desde internet.
• Monitorea el tráfico de red en busca de conexiones salientes inusuales o picos de ancho de banda inexplicables.

Fuentes:
https://cybersecuritynews.com/authorities-dismantle-malicious-proxy-service/

https://www.europol.europa.eu/media-press/newsroom/news/europol-and-international-partners-disrupt-socksescort-proxy-service