Administrador de la Botnet Proxy RSOCKS se declara Culpable

Denis Emelyantsev, un hombre ruso de 36 años acusado de dirigir una botnet masiva llamada RSOCKS ese malware cosido en millones de dispositivos en todo el mundo, se declaró culpable de dos cargos de violaciones de delitos informáticos en un tribunal de California esta semana. La declaración de culpabilidad se produce pocos meses después de que Emelyantsev fuera extraditado de Bulgaria ,donde dijo a los investigadores: "Estados Unidos me está buscando porque tengo una gran cantidad de información y la necesitan.”

Una copia del pasaporte de Denis Emelyantsev, alias Denis Kloster, publicado en su página de Vkontakte en 2019.

Anunciado por primera vez en el ciberdelito clandestino en 2014, RSOCKS fue el escaparate basado en web para computadoras pirateadas que se vendieron como "proxies" a ciberdelincuentes que buscaban formas de enrutar su tráfico web a través del dispositivo de otra persona.

Los clientes pueden pagar para alquilar el acceso a un grupo de proxies durante un período específico, con costos que van desde $30 por día para acceder a 2,000 proxies, hasta daily 200 diarios para hasta 90,000 proxies.

Muchos de los sistemas infectados fueron Dispositivos de Internet de las cosas (IoT) , incluidos sistemas de control industrial, relojes de tiempo, enrutadores, dispositivos de transmisión de audio/video y abridores inteligentes de puertas de garaje. Más adelante en su existencia, la botnet RSOCKS se expandió para comprometer dispositivos Android y computadoras convencionales.

En junio de 2022, las autoridades de los Estados Unidos, Alemania, los Países Bajos y el Reino Unido anunció una operación conjunta para desmantelar la botnet RSOCKS. Pero esa acción no nombró a ningún acusado.

Inspirado por ese derribo, KrebsOnSecurity pistas seguidas desde la identidad del maestro de la botnet RSOCKS en los foros de cibercrimen hasta Blog personal de Emelyantsev, donde fue por el nombre Denis Kloster. El blog presentaba reflexiones sobre los desafíos de dirigir una empresa que vende "servicios de seguridad y anonimato a clientes de todo el mundo", e incluso incluía una foto de grupo de los empleados de RSOCKS.

"Gracias a ustedes, ahora nos estamos desarrollando en el campo de la seguridad de la información y el anonimato., "El blog de Kloster entusiasmado. "Hacemos productos que son utilizados por miles de personas en todo el mundo, ¡y esto es genial! ¡Y esto es solo el comienzo!!! No solo trabajamos juntos y no solo somos amigos, somos familia.”

Pero para cuando se publicó esa investigación, Emelyantsev ya había sido capturado por las autoridades búlgaras respondiendo a una orden de arresto estadounidense. En su audiencia de extradición, Emelyantsev afirmó que probaría su inocencia en un tribunal de Estados Unidos.

"He contratado a un abogado allí y quiero que me envíe lo antes posible para aclarar estos cargos infundados", dijo Emelyantsev decir el tribunal búlgaro. "No soy un criminal y lo demostraré en un tribunal estadounidense.”

RSOCKS, alrededor de 2016. En ese momento, RSOCKS anunciaba más de 80,000 proxies. Imagen: archive.org.

Emelyantsev era mucho más que un simple administrador de una gran botnet. Detrás de la fachada de su empresa de publicidad en Internet con sede en Omsk, Rusia, el botmaster de RSOCKS era un jugador importante en la industria rusa de spam de correo electrónico durante más de una década.

Algunos de los principales foros rusos de delitos cibernéticos han sido pirateados a lo largo de los años, y los mensajes privados filtrados de esos foros muestran que el administrador de RSOCKS reclamó la propiedad del RUSdot foro de spam. RUSdot es el foro sucesor de Spamdot, una comunidad mucho más secreta y restringida donde la mayoría de los principales spammers, creadores de virus y ciberdelincuentes del mundo colaboraron durante años antes del foro implosión en 2010.

Una versión traducida por Google del foro de spam de Rusdot.

De hecho, las primeras menciones de RSOCKS en cualquier foro de ciberdelincuencia en ruso se refieren al servicio por su nombre completo como "Servidor de Calcetines RUSdot.”

El spam de correo electrónico, y en particular el correo electrónico malicioso enviado a través de computadoras comprometidas, sigue siendo una de las mayores fuentes de infecciones de malware que conducen a violaciones de datos y ataques de ransomware. Por lo tanto, es lógico que, como administrador del foro más conocido de Rusia para spammers, Emelyantsev probablemente sepa bastante sobre otros jugadores importantes en la comunidad de spam y malware de botnets.

No está claro si Emelyantsev cumplió su promesa de divulgar ese conocimiento a los investigadores estadounidenses como parte de su acuerdo de culpabilidad. El caso está siendo procesado por la Oficina del Fiscal Federal para el Distrito Sur de California, que no ha respondido a una solicitud de comentarios.

Emelyantsev se declaró culpable el lunes de dos cargos, incluidos daños a computadoras protegidas y conspiración para dañar computadoras protegidas. Se enfrenta a un máximo de 20 años de prisión, y actualmente está programado para ser sentenciado el 27 de abril de 2023.