¿Cómo se vuelven invisibles los hackers? (Pista: No es usando una VPN)

Seguro que has visto mil anuncios en YouTube de empresas de VPN prometiéndote que, con solo pulsar un botón, te vuelves más invisible que los ingresos de un político... Siento decepcionarte pero no es así, sé que te pintan un mundo donde activar su app te convierte en un fantasma digital capaz de hackear la nasa desde el sofá de tu casa mientras disfrutas del catálogo de Netflix de Japón.

Es duro pero ningún "ciberdelincuente" serio, (que no hacker!) confía su libertad a una suscripción de 5€ al mes.

Si llega la policía y llama a la puerta de una empresa de VPN comercial con una orden judicial, ¿Qué crees que va a pasar? Exacto!! van a soltar todos tus datos de conexión, tus IPs reales y tus horarios más rápido de lo que tardas en borrar el historial del navegador. Las VPN comerciales son geniales para saltarte el geobloqueo de una serie o para evitar que te roben credenciales en el wifi abierto de un hotel, pero si buscas saber cómo se anonimizan los hackers de verdad, la respuesta está a años luz de ahí.

Para lograr un anonimato en internet que ponga de cabeza al mismísimo FBI, se necesita un método obsesivo que combine tecnología extrema, desconfianza crónica e incluso enfermiza y una disciplina casi militar. Vamos a destriparlo un poquito para que se entienda.

1. El kit de inicio: Sistemas amnésicos y la red Tor

Para empezar a hablar de privacidad real, lo primero que vuela por la ventana es Windows o macOS. Esos sistemas están diseñados para telemetría y guardan cachés, registran ubicaciones y apuntan cada dispositivo que conectas. Los atacantes utilizan entornos "amnésicos", siendo el rey indiscutible. ahi entra en juego "Tails OS".

¿Cómo funciona este sistema? Es un entorno operativo que se ejecuta directamente desde un pendrive. Lo conectas, arrancas el equipo desde ahí y, por defecto, todo el tráfico de internet pasa obligatoriamente por la red Tor.

Seguro que te suena Tor (The Onion Routing). Se llama enrutamiento de cebolla porque funciona mediante capas criptográficas. Cuando envías tráfico, este no va directo a la web de destino. Primero se encripta tres veces y viaja hacia un primer nodo (un servidor voluntario), que quita la primera capa para saber a qué segundo nodo enviarlo. El segundo hace lo mismo hacia un tercer nodo (el de salida), que es el que finalmente te conecta a internet.

Sé que es un poco complicado si no estás familiarizado, pero si lo trasladamos a un ejemplo seguro que lo entiendes. A groso modo no es lo mismo coger un autobús de Madrid a Barcelona de una (navegador estándar) que hacer 3 escalas en las que al subir al bus el conductor sabe de donde te recoge, pero no si es tu salida o venías de otro tren...(Tor). Claro, después de 3 escalas ven donde has llegado pero no de donde venias, esa es la idea de forma muy simplificada (no me matéis algunos por este ejemplo, así se lo explicaría a mi padre).

Gracias a esto:

• El nodo 1 sabe quién eres pero no qué haces.
• El nodo 2 no sabe nada de nada.
• El nodo 3 sabe qué haces pero no tiene ni idea de quién eres.

Lo mejor de Tails viene al apagar el ordenador, no guarda absolutamente nada en el disco duro. Todo se procesa en la memoria RAM, que al quedarse sin corriente eléctrica se borra por completo. Si alguien entra en la habitación dos minutos después, el pendrive estará más limpio que una patena, y lo mejor, si te pillan manos a la obra... sólo tienes que preocuparte de una cosa, desenchufar el pendrive y todo desaparece, Puf! Que me registren :)

2. El truco del "hardware fantasma" y redes públicas

¿Crees que los ciberdelincuentes operan desde la fibra óptica de su casa que está a su nombre? 

Ni de broma! 

El rastreo de una IP física doméstica es juego de niños para las autoridades. Para evitarlo, el proceso técnico parece sacado de una peli de espías:

• Ordenadores de usar y tirar: Compran portátiles antiguos de segunda mano pagando estrictamente en efectivo y en mano. Jamás online, jamás usando tarjetas.
• Ataques en movimiento: Se conectan exclusivamente a redes wifi de cafeterías masificadas, centros comerciales o parkings públicos... wifis ajenas buscando siempre puntos ciegos donde las cámaras de seguridad no registren su rostro o matrículas.
• Falsificación de identidad (MAC Spoofing): Antes de conectarse, modifican por software la dirección MAC (el identificador físico único de la tarjeta de red) para camuflar el portátil como si fuera un smartphone cualquiera.
• Destrucción física: Una vez terminada la operación, el portátil se desmonta, se machaca el disco duro, se le quita la batería y seguramente acabará en el fondo de un río o en un contenedor a kilómetros de distancia. El hardware se convierte en un fantasma.

3. Lavado de dinero digital: ¿Cómo rompen el rastro de las transacciones?

Aquí llegamos a la pregunta del millón, cuando roban dinero, ¿Cómo evitan que los rastreen? Muchos piensan que usan Bitcoin porque "es digital y anónimo", pero es justo el peor aliado del criminal despistado.

Al fin y al cabo el Bitcoin es "pseudoanónimo", no lleva tu nombre grabado, pero todas las transacciones son totalmente públicas y quedan registradas para siempre en la Blockchain. Si la policía usa herramientas de análisis forense, puede seguir la pista de los fondos de cartera en cartera. Tarde o temprano, el criminal intentará cambiar ese Bitcoin por dinero real, y ahí es donde lo cazarían.

Para romper este"rastreo" utilizan dos herramientas principales:

El efecto de la criptomoneda Monero (XMR)

Mientras que Bitcoin es de cristal, Monero es una pared de hormigón. Esta criptomoneda oculta por defecto quién envía los fondos, quién los recibe y la cantidad exacta transferida gracias a firmas en anillo y direcciones ocultas. Los hackers intercambian rápidamente sus Bitcoins robados por Monero en plataformas descentralizadas que no piden ni DNI ni registros. Es en ese instante cuando el hilo de la policía choca contra un muro invisible.

Los Mixers o "Lavadoras" de cripto

Imagina meter un billete de 50 € que has marcado previamente con un boli en una lavadora gigante llena de millones de billetes de otras personas. Cuando la lavadora para, sacas un billete aleatorio. Está limpio!! Eso hace un "mixer" de criptomonedas como el conocido "Tornado Cash". Junta los fondos ilícitos, los mezcla en una batidora digital con miles de transacciones legales y le devuelve al usuario monedas limpias imposibles de asociar al robo original. Un flipe!

El uso de muleros bancarios

El último paso es pasar las criptomonedas limpias a dinero real en el banco. Para no levantar alertas fiscales, reclutan a "muleros". Suelen ser personas engañadas con ofertas de trabajo falsas en internet del tipo "se busca gestor de cobros online", lo mismo te has encontrado ya con alguna de estas antes. Estas personas reciben transferencias en sus cuentas bancarias tradicionales, retiran el efectivo en cajeros y se lo envían al hacker por métodos difíciles de rastrear, como transferencias internacionales o tarjetas de regalo. Si la policía investiga, la puerta a la que llaman es la del intermediario, mientras el verdadero atacante sigue a salvo en las sombras...

4. La gran paradoja: El ego contra la seguridad operacional 

Al final del día, la tecnología de cifrado puede ser matemáticamente perfecta, pero los humanos no lo somos. En ciberseguridad existe un concepto sagrado, la "OpSec" (Seguridad Operacional), que son las reglas que sigues para que tu vida virtual jamás se cruce con tu vida real.

El 99% de los ciberdelincuentes que acaban en prisiones de máxima seguridad no caen porque la policía descifre la red Tor o rompa Monero. Caen por "errores humanos".

Si quieres un ejemplo claro, creo que el caso más famoso de la historia, tenemos a Ross Ulbricht, el creador de "Silk Road", el mayor mercado negro de la Dark Web. ¿Cómo lo pilló el FBI si usaba Tor y Bitcoin a la perfección? Pues claramente por fallos de OpSec acumulados durante años.

Los tres principales fueron:

1. "El Alias": Años antes de crear la web, publicó una duda técnica en un foro de programación usando el mismo pseudónimo que usaría en la Dark Web. En ese post viejo, dejó escrita su cuenta de Gmail real con su nombre y apellido... ya ves por donde van los tiros!
2. "El despiste": El FBI ató cabos buscando en registros antiguos de Google.
3. "La detención": Cuando supieron quién era, lo siguieron a una biblioteca pública. Esperaron a que abriera el portátil y se logueara como administrador de la web. 

Si si Kernel, pero si tanta seguridad que implementan... ¿Cómo es posible que lo pillaran? Pues de película!!!

Para evitar que cerrara la pantalla (lo que activaría el borrado amnésico de la RAM), escenificaron una pelea de pareja detrás de él. En cuanto se giró por la distracción, un agente le arrebató el portátil encendido. 

Game Over!!!

Conclusión

El anonimato absoluto no existe, lo único que existe es poner las cosas "tan ridículamente difíciles" que rastrearte requiera una inversión de tiempo y millones de dólares que a las agencias de la ley no les salga a cuenta... a menos que cometas un solo desliz. En este juego, las autoridades solo tienen que acertar una vez, el hacker tiene que ser perfecto cada segundo de su vida.

>_Saludos!

¿Qué te ha parecido este viaje al lado oscuro de la red? ¿Conocías el truco de Monero o seguías pensando que las VPN comerciales eran un escudo infalible? ¡Te leo en los comentarios!