La operación PowerOFF ha dejado fuera de servicio a NightmareStresser, la plataforma de DDoS por encargo que desde 2022 inundaba de tráfico basura a quien pagase por el servicio. La incautación de su dominio principal y de otros sitios asociados la ejecutaron el FBI, a través de su oficina de campo de Anchorage, y la Real Policía Montada de Canadá, con orden judicial. El dominio ya muestra el cartel de incautación del Departamento de Justicia.
Anatomía de la incautación: qué ha caído de verdad
No estamos ante un puñado de servidores apagados a la carrera. Estamos ante una infraestructura que llevaba cuatro años vendiendo ataques como quien vende suscripciones de gimnasio: panel de control, tutoriales para torpes y un programa de afiliados que premiaba a quien traía clientes nuevos.
Según el Departamento de Justicia, sus usuarios lanzaron o intentaron lanzar cientos de miles de ataques desde al menos 2022, tal y como recoge el comunicado difundido en su web oficial. Los objetivos incluyen instituciones educativas, agencias gubernamentales,, plataformas de videojuegos y millones de personas. Todo ello desde una plataforma que se anunciaba sin esconderse en la web abierta.
El detalle técnico importa, y mucho. Un booter o stresser no vulnera ningún sistema: alquila ancho de banda y lo vuelca contra una dirección IP hasta que el servicio legítimo se cae. No hay exploit ni vulnerabilidad de día cero. Hay volumen. Por eso es barato, por eso es masivo y por eso lo maneja gente sin conocimientos técnicos, los script kiddies que menciona Infoblox.
Zach Edwards, investigador de amenazas de esa firma, lo resumió a CyberScoop con retranca: ‘es un tanto sorprendente que la aplicación de la ley haya tardado tanto en actuar’. Traduzco: la plataforma llevaba demasiado tiempo operando a la vista de todos, con decenas de miles de usuarios declarados.
Un booter no rompe sistemas: compra silencio a base de saturación, y ese es el negocio más fácil de montar y el más difícil de cerrar.
El oficio del DDoS por encargo: cien dominios y ningún final
Desde 2018, las autoridades han incautado más de cien dominios vinculados a servicios de DDoS por encargo. Cien. Y el mercado sigue igual de vivo. Edwards lo describe como un juego del Whac-A-Mole: cuando cae un proveedor, la red se muda a otro en cuestión de días y el cliente ni nota el cambio.
Lo que hacía distinto a NightmareStresser no era la tecnología, sino la longevidad y el descaro. Comercializaba abiertamente casos de uso ilegales y pagaba comisiones a sus afiliados. Para entender lo que eso significa, retroceda usted a 2016, al botnet Mirai: fue el momento en que el DDoS dejó de ser una travesura y se convirtió en industria.
Los operadores no han sido identificados. Tampoco su país de origen, según el comunicado oficial. Eso sí: el propio servicio sostenía operar bajo las leyes de la Federación Rusa. Edwards interpreta ese detalle como una señal de que llevarlos ante un tribunal será complicado incluso si se les conoce y se les expone. Ahí está la contradicción de esta operación: se incauta el dominio, no se detiene a nadie.
El dominio cae. El negocio respira.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque de tipo DDoS por encargo ofrecido como servicio, sin zero-day, sin backdoor y sin payload sofisticado. El método es la saturación de volumen bruto contra la disponibilidad, no contra la confidencialidad. Es la amenaza más barata del catálogo y, precisamente por eso, la más democrática.
Agencias implicadas. Suministra el arma una estructura criminal que declaraba operar bajo legislación rusa, aunque ni el DOJ ni la RCMP han atribuido el servicio a un actor estatal concreto. Defiende el FBI, con apoyo de la policía canadiense y coordinación internacional dentro de PowerOFF. Miran con interés Infoblox y los equipos nacionales de respuesta, y en España el CCN-CERT y el INCIBE, acostumbrados a ver este tipo de servicios apuntando a webs institucionales, banca y juego online.
Nivel de clasificación estimado: uso restringido. Lo incautado no son secretos de Estado, son registros de pago, paneles de cliente y metadatos de suscriptores. Material sensible por lo que revela sobre quién compraba los ataques, no por lo que revela sobre ningún servicio.
Mi lectura va en otra dirección de la que suele venderse. La incautación del dominio es cosmética si no llega acompañada de imputaciones, y me consta que en este tipo de operaciones el valor real está en la lista de clientes. El FBI no busca solo a los dueños de NightmareStresser: busca a quien pagó para tumbar la web de un hospital, de un ayuntamiento o de un medio.
No se equivoque conmigo: celebro la caída. Pero llevo años sosteniendo que el próximo 11S empezará con un clic, y este ecosistema es exactamente el caldo de cultivo del que hablaba entonces. Cualquiera con cincuenta euros y mala intención puede paralizar durante horas un servicio público, mientras la respuesta institucional llega cuatro años tarde a base de incautaciones de dominios que se reciclan el mismo fin de semana.
Le adelanto lo que toca vigilar: si el Departamento de Justicia publica imputaciones contra los operadores identificados, si la lista de clientes acaba en manos de las policías europeas vía Europol y si la próxima oleada de PowerOFF llega antes de que termine el año. Hasta entonces, otro proveedor estará abriendo el panel de control en alguna parte. Es el oficio. Y es, también, nuestra propia falta de memoria.
