Notas desde la Dark Web: Análisis de las conversaciones sobre Ucrania en foros clave

Durante la última semana, los analistas de TRM han estado rastreando las conversaciones en varios foros de la dark web para identificar el estado de ánimo general de los miembros del foro en relación con el conflicto en Ucrania y, más específicamente, cualquier discusión por parte de los actores de amenazas sobre las sanciones y cómo pueden afectar a la actividad criminal, y si hay alguna discusión sobre la criptomoneda como medio para eludir las sanciones.  

Principales conclusiones:

• Los actores de amenazas en múltiples foros, principalmente de habla rusa, han estado debatiendo la posibilidad y el impacto de que Rusia se quede sin acceso a SWIFT;
• Como en otros momentos de conflicto geopolítico, los propios foros han intentado mantener una apariencia de neutralidad.
• Sin embargo, varios actores individuales de amenazas han expresado su deseo de ayudar a sus "colegas" ucranianos.
• Algunos actores de la amenaza también han expresado una preocupación general por la economía rusa, incluido el destino del mercado de valores ruso, lo que indicaría que residen en Rusia o que les afecta personalmente el destino de la economía rusa.
• Las sanciones afectarán negativamente a la capacidad de los actores de las amenazas para retirar fondos robados, ya que servicios como los intercambios de criptomonedas y los bancos no enviarán fondos a cuentas de bancos rusos.
• Los actores de la amenaza creen que la criptomoneda debería legalizarse formalmente en Rusia para eludir las sanciones contra este país.
  

Aunque hay algunos actores de amenazas que han tomado partido en el conflicto, los foros en ruso intentan mantener la neutralidad respecto a la guerra en Ucrania. El grupo de ransomware Conti ha amenazado notoriamente con perseguir a cualquiera que esté en conflicto con Rusia. Algunos actores de amenazas han publicado lo que afirman que son datos internos de un contratista de defensa ruso como forma de protesta contra la invasión rusa de Ucrania.

Pero en general, los actores de amenazas en los foros de la web oscura han estado discutiendo la posibilidad de que Rusia se quede fuera de SWIFT y cómo esto afectaría tanto a la economía rusa como a la mundial. Algunos de los actores de amenazas han pronosticado que, como resultado de la desconexión de Rusia de SWIFT, el mundo acabaría dividido en dos centros geopolíticos de gravedad: China/Rusia y Europa/Estados Unidos. 

Otros han especulado con que Rusia quedará aislada, pero que la gente empezará a pasar de contrabando transacciones SWIFT a través de Ucrania. En otras palabras, es probable que los delincuentes rusos tengan socios en Ucrania que les ayuden a procesar las transacciones bancarias. 

De hecho, aunque hay algunos miembros del foro que han expresado su deseo de ayudar a los ucranianos, llegando incluso a ofrecerles comida y refugio en países como Rumanía, la mayoría de los actores de la amenaza parecen preocupados sobre todo por cómo afectarán los nuevos cambios a sus actividades ilegales. 

Cuando un actor de amenazas pregunta si sigue teniendo sentido intentar robar tarjetas de crédito extranjeras y si los actores de amenazas rusos podrán seguir monetizando las tarjetas extranjeras, otro actor de amenazas responde que es probable que el individuo no pueda retirar criptomonedas utilizando tarjetas emitidas por bancos rusos porque las bolsas no lo permitirán. También afirma que depende de cada banco y nombra uno que "todavía resiste".

En general, varios miembros del foro afirmaron que no tienen fondos en bancos porque están más seguros en criptomoneda. Un moderador de un foro sugirió que un cambio total al uso de criptomonedas ayudaría a eludir las sanciones contra Rusia y que Rusia debería legalizar las criptomonedas inmediatamente. 

Otros temas de debate son las acciones y los mercados bursátiles rusos, la conveniencia de comprar dólares (el consenso general es que es demasiado tarde para hacerlo a los tipos de cambio actuales), la inflación y otros temas de especial interés para las personas que residen en Rusia en estos momentos.

En general, al revisar los datos de los foros de la web oscura, los analistas de TRM descubrieron que, si bien los actores de las amenazas están preocupados por el conflicto y por cómo afectará a su capacidad de mover las ganancias de la actividad ilegal, no parece haber pruebas de una participación activa significativa de los actores de las amenazas en el conflicto. 

TRM Labs seguirá vigilando la situación, especialmente en lo que se refiere al uso de criptomonedas en la ciberdelincuencia y la posible evasión de sanciones. También vigilaremos cualquier cambio en las TTP (herramientas, técnicas y procedimientos) utilizadas por los actores de amenazas para aprovechar el conflicto o mitigar su efecto en sus actividades.  

‍