La deep web occidental: drogas, armas, crimeware, tarjetas y asesinatos

Solemos entender la internet profunda (esa a la que los buscadores convencionales no pueden llegar) como un páramo hostil repleto de negocios clandestinos organizados bajo mafias y grupos de ciberdelincuentes rusos, chinos y demás países no occidentales.
Una afirmación que parte de algunos elementos verídicos (cuentan con legislaciones no tan restrictivas como las que podemos encontrar por aquí), y otros que reman a corriente de esa estrategia de desprestigio hacia otras culturas, aún dependientes de las guerras vividas hace ya unas cuantas décadas (y algunas otras que están a día de hoy en activo).
Por ello, he disfrutado como un niño leyendo el informe de TrendMicro sobre la Deep Web estadounidense (EN). Un repaso muy acertado y completo a cada una de las tipologías de negocios turbios que podemos encontrar en territorio occidental, y que ejemplifica a la perfección la evolución que ha sufrido la industria del crimen.
De todo ello, me quedo con varios elementos que conforman, en su conjunto, una buena imagen de lo que se mueve en los bajos fondos de internet.
A saber:

Las estrategias de marketing y ventas bajo una misma estrategia global

Me parece profundamente interesante, y así lo he ido dejando claro en algún que otro artículo anterior, cómo la industria del crimen opera con estrategias de comunicación semejantes a las que se están utilizando en los negocios legítimos.
En su día, dediqué un artículo en profundidad a algunas de las técnicas más utilizadas en la DeepWeb, entre las que cabría señalar el buen manejo de la oferta y la demanda con ofertas de última hora, la contratación de publicidad en otras páginas y foros relacionados y el funcionamiento de una cadena de fidelización de un cliente que generalmente es anónimo, lo que supone mantener un sistema basado en la reputación altamente descentralizado y abundante en fraudes y timos de la más diversa índole.
Le echo un ojo en el informe, y me sorprende constatar cómo algunas de estas estrategias han dado el salto hacia entornos de la web visible, como el ejemplo que tenemos bajo estas líneas:

Ver en Youtube (EN)

Abundan, y mucho, piezas audiovisuales de venta de herramientas de crime as a service disponibles para su consulta por cualquier interesado. Sin tener que meterse en Tor o cualquiera de estas redes, directamente desde plataformas como Youtube y foros de hacking.
Y me pregunto si esto no incumple la normativa de un servicio como éste, a sabiendas que este tipo de herramientas no tienen un uso que podamos considerar “legítimo”.
En mi caso, y por la temática del medio en el que escribo, me han llegado a ofrecer sumas realmente interesantes por publicitar servicios a medio camino entre lo legal y lo ilegal, pero todavía no ha llegado el caso en el que alguien me ofrezca pagarme por enlazar una herramienta cuyo uso solo atiende a intereses maliciosos. Tiempo al tiempo, supongo…
De hecho, creo que hay un aspecto a considerar entre la diferencia de estrategia entre la deep web de oriente y la de occidente, y que pasaría por la democratización y universalización de los productos en venta.
Que poco a poco este tipo de servicios den el salto a la web abierta solo demuestra la intención de la industria por atraer clientes no especialmente técnicos, que buscan quizás una “caja negra” con un solo botón al que pulsar para realizar una acción que ni quieren entender, ni están en la potestad de hacerlo.
Lo que me lleva al segundo punto.

La sala de juegos del Script Kiddie

El éxito de esta industria del cibercrimen radica, precisamente, en la generación de herramientas que operan prácticamente por sí solas, cuando no directamente se vende el resultado.
En el primer caso, vemos cómo hemos pasado de un escenario en el que lo que se vendía era la herramienta a otro en lo que se vende es el servicio (crime as a service). Con una interfaz gráfica, con modelos de negocio basados en la licencia (temporal y/o por volumen), el cliente se pone a los mandos de una maquinaria que realiza ataques de denegación de servicio, o botnets encargadas de recopilar datos sensibles de las víctimas.
El cliente solo tiene que apretar unos botones para realizar sus fechorías. Toda la logística necesaria tanto para mantener el número de infectados/víctimas, como para realizar los ataques que se hayan contratado, corren a cargo de la “empresa”, que incluso llega a ofrecer garantías en caso de fallo.

• Un DDoS de 300GBs (el máximo que ofrece este servicio en particular) durante 120 segundos está de oferta (la versión Trial), y vale tan solo 1dólar.
• Si queremos más tiempo, y según el tráfico que queramos incluir, partiremos de los 4$ en adelante.

Por contra, un cliente puede estar interesado no en mover la maquinaria, sino simplemente en obtener un resultado. Y esto también es posible, con precios asequibles para cualquiera:

• 100 tarjetas de débito junto a su pass nos costarían entre 19 y 22 dólares.
• Si las queremos ya de tipo Business, Gold o Platinum, alrededor de 100 dólares.
• Si son físicas, el precio se dispara (entre 210-814 dólares cada una).
• Una cuenta de Origin por menos de un dólar.
• Una de Netflix por 5 dólares.
• Una de PayPal verificada por 9 dólares.
• …

Por supuesto, también hay sitio para los clásicos (aquellos que se lo quieren cocinar ellos mismos):

• ¿Que quiere un keylogger? Por 1-4$ es suyo.
• ¿Que lo que busca es un RAT? Entre 1 y 50$, según funcionalidades.
• ¿Una botnet, o las herramientas para crear la suya propia? De 5 a 200$
• Un gusano de 7 a 15.
• Un ransomware desde 10.
• …

Negocios para todos los gustos

No únicamente de herramientas digitales vive el cibercrimen. De hecho, y como puede ver en la gráfica superior, el 62% de los mercados negros viven de vender droga.
Se paga por bitcoin, y el cibercriminal se encarga de enviar por mensajería el paquete a una oficina o buzón específico. Desde buzones de estaciones de tren, pasando por casas que el cliente sabe que están abandonadas, con precios que van desde 19 dólares el gramo de marihuana hasta los 209 de la heroína.
También se venden armas, faltaría más:

• 8 dólares un aerosol.
• 550 una beretta.
• 6.500 un rifle de calibre 50.
• Los silenciadores, alrededor de los 1.000 dólares.

Sin olvidarnos de la contratación de matones. Desde palizas as a service (en el país, y también con servicio internacional) hasta lo que la imaginación le de.
Y por si se lo pregunta, matar a una persona y que parezca un accidente vale 75.000 dólares. Aunque si la víctima es un personaje público y tiene hasta 5 escoltas, le va a costar 900.000 dólares. Ouch!

Menos mal que no todos tenemos esa cuantía :).

Fuente: PabloIglesias