Datos rápidos

• Un estudiante universitario en Bangladesh vendió acceso a más de 5,200 sitios web vulnerables, incluidos dominios gubernamentales y universitarios, por tan solo $3–$220 cada uno.
• Los compradores, a menudo vinculados a actores de amenazas de China, Malasia e Indonesia, usaron estos sitios para lanzar sofisticados ciberataques - en ocasiones con fines de espionaje.
• El acceso se vendía a través de canales de Telegram, utilizando criptomonedas para transacciones anónimas.
• Algunos de los sitios comprados fueron infectados con un avanzado y sigiloso webshell chino llamado "Beima", indetectable para la mayoría de las herramientas de seguridad.
• Casi la mitad de los sitios comprometidos provenían del sector educativo y una cuarta parte de entidades gubernamentales, con una fuerte concentración en Asia.

La tienda de segunda mano digital: el negocio paralelo de un estudiante

Imagina a un joven estudiante en Bangladesh, encorvado sobre su portátil en una residencia universitaria, no estudiando para los exámenes finales, sino curando un mercadillo digital. Durante los últimos 18 meses, este aspirante a profesional de la ciberseguridad ha estado vendiendo las llaves de las salas más sensibles de internet - sitios web de universidades, gobiernos e incluso militares - a través de Telegram, una popular aplicación de mensajería cifrada.

Los precios son sorprendentemente bajos. Por lo que cuesta un café, los hackers podían comprar acceso a sitios de pequeñas empresas. Por un par de cientos de dólares, podían hacerse con una prestigiosa dirección .edu o .gov. Es un modelo de negocio nacido tanto de la oportunidad como de la desesperación: el estudiante financia sus estudios, mientras los compradores obtienen acceso de saldo a infraestructuras digitales.

Las fuerzas del mercado se encuentran con el espionaje

Esto no es solo un delito cibernético menor. Investigadores de Howler Cell de Cyderes descubrieron que muchos compradores no buscaban ganancias rápidas, sino algo más valioso: información. Las puertas digitales vendidas por el estudiante a menudo conducían a objetivos ricos en datos, perfectos para el ciberespionaje. La mayoría de los clientes provenían de China y el sudeste asiático, regiones conocidas tanto por operaciones cibernéticas patrocinadas por el Estado como motivadas financieramente.

El método del estudiante era simple pero efectivo. Recolectaba sitios web vulnerables - a menudo servidores WordPress o cPanel mal configurados, donde los administradores habían dejado puertas traseras abiertas al descuidar actualizaciones de software, usar contraseñas débiles o exponer archivos sensibles. Estos sitios luego se agrupaban y gestionaban a través de un panel de control de botnet, y se ofrecían al mejor postor.

Beima: el fantasma en la máquina

Algunos de los sitios comprometidos se convirtieron en plataformas de lanzamiento para una nueva y sigilosa herramienta: el webshell Beima. Piensa en un webshell como un panel de control secreto oculto dentro de un sitio web, que permite a los atacantes hacer de todo, desde robar datos hasta subir más malware. Beima, escrito en chino, va un paso más allá. Oculta sus comunicaciones en tráfico cifrado, disfraza sus archivos manipulando marcas de tiempo y se mimetiza con la actividad normal del sitio web - haciéndolo casi invisible para los sistemas de seguridad tradicionales.

Este nivel de sofisticación es raro en el nivel de entrada del cibercrimen. La presencia de Beima sugiere que algunos compradores no eran simples hackers solitarios, sino grupos organizados con ambiciones mayores, posiblemente alineados con intereses estatales. Ya se han visto tácticas similares antes - como la explotación en 2021 de servidores universitarios para campañas de espionaje dirigidas a la investigación académica y la propiedad intelectual.

Reflexiones: una llamada de atención global

La historia del estudiante bangladesí es más que una curiosa anécdota de ciberdelincuencia - es una advertencia. Nuestras instituciones digitales más confiables son tan seguras como su eslabón más débil, que puede venderse por unas monedas en un bazar cibernético global. A medida que estos mercados clandestinos prosperan, la línea entre el hackeo oportunista y el espionaje geopolítico se difumina, dejando la infraestructura crítica vulnerable al mejor - o más rápido - postor.

WIKICROOK

• Webshell: Un webshell es un programa oculto subido por hackers a un sitio web comprometido, dándoles control remoto y acceso no autorizado como una puerta trasera secreta.
• Comando: Un comando es una instrucción enviada a un dispositivo o software, a menudo por un servidor C2, indicándole que realice acciones específicas, a veces con fines maliciosos.
• Telegram: Telegram es una aplicación de mensajería cifrada conocida por su privacidad, utilizada a menudo por hackers para compartir información, hacer anuncios y coordinar actividades.
• Botnet: Una botnet es una red de dispositivos infectados controlados remotamente por ciberdelincuentes, utilizada a menudo para lanzar ataques a gran escala o robar datos sensibles.
• Criptomoneda: La criptomoneda es una moneda digital asegurada por criptografía, que permite transacciones seguras y descentralizadas y se utiliza tanto para actividades legales como ilícitas.