KillNet en el punto de mira: El grupo de ciberdelincuentes que recauda fondos para la guerra de Rusia en Ucrania

KillNet es un grupo cibercriminal prorruso que opera desde 2021. Inicialmente, KillNet se promocionaba como un grupo MaaS (Malware-as-a-Service) que ofrecía servicios de ataques de denegación de servicio (DDoS), dirigidos a sitios web sobrecargándolos de peticiones. Aunque estos ataques no afectan a la confidencialidad ni a la integridad de los datos, suponen una importante amenaza para las operaciones cotidianas de las víctimas y a menudo provocan pérdidas financieras y de reputación.

Tras la invasión rusa de Ucrania en febrero de 2022, el alcance de KillNet se amplió de dos maneras clave. KillNet comenzó a utilizar criptomonedas para recaudar fondos para el esfuerzo bélico ruso. También comenzó a atacar entidades gubernamentales e infraestructuras críticas en países que se oponían a la invasión, mediante ataques DDoS contra Lituania, Polonia, Japón, Noruega, la República Checa, Moldavia y Estados Unidos, entre otros.  

La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) describe a KillNet como una "amenaza significativa para las infraestructuras críticas de EE.UU.". TRM también encontró pruebas en la cadena de que KillNet ha interactuado con Bitzlato - el intercambio de criptodivisas que el Department of Justice y el Departamento del Tesoro de EE.UU. acusaron de lavado de dinero en enero por facilitar las finanzas ilícitas rusas.

Estas son las cinco cosas clave que hay que saber sobre KillNet:

1. KillNet solicita criptodonaciones en Telegram 

KillNet tiene una gran presencia en Telegram, con casi 100.000 seguidores en enero de 2023, que utiliza para solicitar donaciones en criptomoneda para las fuerzas rusas que luchan en Ucrania. Los monederos de criptomonedas atribuidos a KillNet -donde se indicaba a los donantes que enviaran fondos en apoyo de Rusia- han acumulado más de 280.000 USD desde la invasión de Ucrania en febrero de 2022.        

KillNet solicita donaciones en varias criptomonedas, como BTC, Monero, USDT y Ethereum. Una investigación más a fondo identificó que KillNet ha convertido criptomoneda en casi 35.000 dólares estadounidenses a través de intercambios ubicados en Europa del Este, conocidos por tener débiles requisitos de Conozca a su Cliente (KYC). 

‍2. KillNet afirma utilizar donaciones para suministrar material a las tropas rusas que combaten en Ucrania.

KillNet apoya abiertamente las operaciones militares rusas en Ucrania y afirma suministrar equipamiento a las tropas. Por ejemplo, en octubre de 2022 Killnet publicó fotos que parecen mostrar a fuerzas especiales rusas utilizando prismáticos telémetros donados por el grupo y etiquetando munición con "KillNet" para mostrar su agradecimiento. 

3. KillNet tiene vínculos con un notable mercado pro-ruso de la darknet

KillNet se ha asociado con Solaris, un mercado de la darknet (DNM) que también ha expresado su apoyo al Gobierno ruso tras aparecer en escena a principios de mayo de 2022 , apenas un mes después de la caída de Hydra Market. Solaris se había convertido en uno de los mayores mercados de la darknet de habla rusa, pero se debilitó significativamente tras un supuesto ataque de un DNM rival.

Aunque la naturaleza exacta de la relación entre KillNet y Solaris no está clara, TRM descubrió que se enviaron casi 50.000 dólares estadounidenses directamente a KillNet desde una dirección asociada a Solaris en octubre de 2022. 

Mientras tanto, KillNet ha afirmado llevar a cabo ciberataques contra un conocido rival de Solaris. El 19 de agosto de 2022, KillNet declaró en Telegram que había atacado RuTor, un foro que proporciona soporte al competidor de Solaris OMG!OMG! Market. Según el mensaje, RuTor pagó entonces 15.000 dólares a KillNet para detener el ataque DDoS. El análisis en cadena realizado por TRM corrobora estas afirmaciones.

Además, en un post de Telegram publicado el 14 de octubre de 2022 por KillMilk -un miembro del grupo KillNet que opera bajo ese alias-, el grupo recibe un amplio apoyo de Solaris. 

‍

4. KillNet Ha jurado lealtad al gobierno ruso

La retórica de KillNet está repleta de llamamientos a la violencia contra Ucrania y de apoyo a la guerra en curso de Rusia. El 22 de septiembre de 2022, KillMilk, miembro de KillNet, confirmó el apoyo del grupo al gobierno ruso. KillMilk declaró al podcast ruso "ZakonnyVopros" (Rus. Законный вопрос): 

"Nos unimos a la misión de Rusia tras el inicio de la operación militar especial.* Todo lo que hemos hecho desde el primer día es para ayudar a nuestro país. Quizá sea esto lo único que nos diferencia de los demás. Aunque en otros países se nos considera criminales, somos héroes para nuestro país porque estamos al lado de Rusia". *Notadel editor: Muchos partidarios del Estado ruso evitan referirse a la invasión de Ucrania y utilizan en su lugar el término "operación militar especial". 

Sin embargo, KillNet niega estar financiada por el gobierno ruso.

5. KillNet reivindica ataques contra la seguridad nacional de EE.UU.

Además de su apoyo al ejército ruso y sus afiliaciones con la DNM, KillNet también parece estar detrás de ciberataques contra Estados Unidos y sus aliados. Solo en octubre de 2022, KillNet reivindicó la autoría de los siguientes ataques contra entidades estadounidenses:

• 3 de octubre de 2022: La National Geospatial-Intelligence Agency (NGA), una agencia de apoyo al combate dentro del Departamento de Defensa de los Estados Unidos especializada en la recopilación, análisis y distribución de inteligencia geoespacial en apoyo de la seguridad nacional.
• 5 de octubre de 2022: sitios web de los gobiernos estatales de Alabama, Alaska, Connecticut, Delaware, Florida, Hawai, Idaho, Indiana, Kansas, Colorado, Kentucky y Mississippi.
• 10 de octubre de 2022: varios aeropuertos estadounidenses, entre ellos el aeropuerto internacional de Los Ángeles (LAX), el aeropuerto O'Hare (ORD) de Chicago y el aeropuerto internacional Hartsfield-Jackson (ATL) de Atlanta.

El 11 de octubre de 2022, el grupo sugirió que sus próximas víctimas podrían ser las terminales marítimas y las instalaciones logísticas, el sector sanitario, el transporte público, las bolsas y los sistemas de comercio en línea, entre otros.

‍¿Qué eslo próximo para KillNet y grupos similares?

La invasión rusa de Ucrania provocó un cambio significativo en el ecosistema cibercriminal. Múltiples grupos prorrusos como KillNet adoptaron Telegram cada vez más, incluso para recaudar fondos a través de criptomonedas para apoyar el esfuerzo de guerra. 

A medida que se prolonga la guerra en Ucrania, grupos como KillNet pueden aumentar significativamente en número y volverse más agresivos. Identificar los criptoactivos y servicios implicados en el apoyo a dicha actividad es fundamental para evaluar y mitigar la amenaza.