El FBI incauta el dominio del foro de hacking underground RAMP

El Federal Bureau of Investigation (FBI) ha incautado los dominios clearnet y darkweb de la plataforma underground RAMP. La plataforma RAMP sirve como un foro de hacking y atiende a varios grupos involucrados en Ransomware-as-a-Service y otros ciberdelincuentes.

Aunque el FBI aún no ha emitido una declaración oficial al respecto, los dominios utilizados por el foro ahora muestran banners que dicen “El Federal Bureau of Investigation ha incautado RAMP”. Los banners indicaban que la acción fue llevada a cabo por el FBI en coordinación con la Oficina del Fiscal de los Estados Unidos del Distrito Sur de Florida y la Sección de Delitos Informáticos y Propiedad Intelectual del Departamento de Justicia.

El FBI derriba el foro de hacking underground

RAMP, que originalmente significaba Russian Anonymous Marketplace, era un popular foro de la dark web que servía principalmente a clientes de habla rusa involucrados en ciberdelitos. Incluyen bandas de RaaS y corredores de acceso inicial. La retirada también fue confirmada por un usuario llamado “Stallman”, que parece ser uno de los propietarios de RAMP, el post de hacking XSS traducido del ruso y compartido en la plataforma de blogging X.

“Con pesar, les informo que las agencias de aplicación de la ley han tomado el control del foro Ramp. Este evento destruyó años de mi trabajo para crear el foro más libre del mundo, y aunque esperaba que este día nunca llegara, en el fondo siempre entendí que era posible. Este es el riesgo que todos corremos”, dice el post. También añadió que, aunque ya no controlará Ramp, no tiene intención de crear otra plataforma desde cero.

Stallman también añadió que continuará con su negocio de compra de accesos, señalando que su negocio principal permanece sin cambios. “Si tienes algo que puedes ofrecirme, los términos están listados en mi firma. Envíame un mensaje en mensajes privados y nos comunicaremos a través de Jabber/Tox”, añadió. Además de ofrecer un foro para actividades de ransomware, el lugar era una plataforma para grupos notorios como LockBit, Qilin, RansomHub, ALPHV/BlackCat y DragonForce para promocionar sus servicios.

El sitio web también incluía varios grupos de discusión donde los usuarios publicaban tutoriales sobre ciberataques. Al hablar de la retirada, Ben Clarke, gerente de SOC en CybaVerse, dijo que el éxito de la plataforma radicaba en proporcionar a los hackers toda la cadena de ataque. Esto significa que los usuarios pueden acceder a servicios que van desde la compra de credenciales robadas hasta la promoción de malware y la venta y compra de otros servicios.

¿Qué tan efectivos son estos desmantelamientos?

Clarke mencionó que, aunque el desmantelamiento afectará la actividad criminal durante un tiempo, el impacto a largo plazo podría ser mínimo. "Cualquier cosa que interrumpa esta actividad es un paso positivo para los defensores. Pero seríamos ingenuos si creyéramos que tendrá un impacto tangible en el cibercrimen", dijo. "Se formarán nuevos mercados para ocupar el lugar de RAMP, mientras que los actores de la amenaza navegarán hacia otras plataformas para comprar y vender servicios".

En los últimos años, las fuerzas del orden han registrado resultados mixtos en las retiradas. Aunque las retiradas ocurren, estas plataformas a menudo se reviven, como en el caso de la retirada de la botnet Emotet en 2022. La plataforma regresó con una venganza. Sin embargo, esto no significa que estas operaciones no funcionen, según Daniel Wilcock, analista de amenazas en Talion, señalando que las retiradas siguen siendo la mejor táctica para que las fuerzas del orden repriman las actividades ciberdelictivas y obtengan información vital.

"Aunque esto no señala el fin del ransomware, las fuerzas del orden podrán obtener información valiosa de la incautación sobre los actores de la amenaza que utilizan los servicios, como sus correos electrónicos y direcciones IP, además del acceso a las transacciones financieras que tuvieron lugar en el mercado", dijo. "Esto podría apoyar futuras acciones de las fuerzas del orden contra los actores de la amenaza que utilizaron el sitio, pero dado que RAMP fue utilizado intensamente por criminales rusos, es muy poco probable que veamos muchas detenciones reales".