Posiblemente conozcas la banda de ciberdelincuentes llamada Troika Gozi, tres hombres que fueron acusados originalmente en enero de 2013 por delitos relacionados con malware que, al parecer, comenzaron a finales de la década de los 2000.

Esos cargos se hicieron públicos en aquel momento bajo un titular del Departamento de Justicia de EE.UU. (DOJ):

Tres presuntos ciberdelincuentes internacionales responsables de crear y distribuir un virus que infectó a más de un millón de ordenadores y causó decenas de millones de dólares en pérdidas, acusados ante el Tribunal Federal de Manhattan.

Los tres delincuentes que figuraban en el pliego de cargos (entonces solo eran sospechosos, pero los tres han sido condenados posteriormente en los tribunales) eran:

• Mihai Ionut Paunescu, rumano, que entonces tenía 28 años. Dirigía lo que se conoce como “hosts a prueba de balas” para la empresa, proporcionando servidores a la banda que se suponía que se adelantarían a cualquier esfuerzo de interrupción por parte de las fuerzas del orden o de los principales ISP. Los llamados “blindados” desplazan sus servicios por Internet para eludir los intentos de desmontaje, las listas de bloqueo y otras medidas de lucha contra la delincuencia.
• Deniss Čalovskis, de Letonia, tenía entonces 27 años. Era el experto web del grupo Gozi, que codificaba contenido HTML falso que el malware podía inyectar en páginas web legítimas para engañar a las víctimas y robar la información de sus cuentas.
• Nikita Kuzmin, de Rusia, entonces de 25 años. Era el Director de Operaciones, contrataba a programadores para que trabajaran en el malware Gozi y dirigía lo que ahora se conoce como un negocio de Crimeware-as-a-Service (CaaS) basado en él.

Un camino largo y tortuoso

Las detenciones y condenas de este trío constituyen una historia fascinante y enrevesada.

Kuzmin fue el primero en ser arrestado, en 2013.

Pasó 37 meses detenido en EE.UU. mientras avanzaba su proceso judicial, antes de declararse culpable en 2016, recibir una condena de tres años de prisión y pagar una “multa” de casi 7.000.000 de dólares, presumiblemente recuperados de sus ganancias ilegales.

En aquel momento, el DOJ utilizó su caso como ejemplo del “modelo de franquicia” CaaS que los ciberdelincuentes empezaron a adoptar a partir de finales de la década de 2000:

Además de crear Gozi, Kuzmin desarrolló un medio innovador para distribuirlo y beneficiarse de él. A diferencia de muchos ciberdelincuentes de la época, que se lucraban del malware utilizándolo únicamente para robar dinero, Kuzmin alquilaba Gozi a otros delincuentes, siendo pionero en el modelo de ciberdelincuencia como servicis para otros delincuentes. Por una tarifa de 500 dólares semanales pagados en WebMoney, una moneda digital muy utilizada por los ciberdelincuentes, Kuzmin alquilaba a otros delincuentes el “ejecutable” de Gozi, el archivo que podía utilizarse para infectar a las víctimas con el malware Gozi.

Kuzmin diseñó Gozi para que funcionara con “inyecciones web” personalizadas creadas por otros delincuentes, que podían utilizarse para que el malware se dirigiera a información de bancos concretos; por ejemplo, los delincuentes que quisieran dirigirse a clientes de determinados bancos estadounidenses podían comprar inyecciones web que hacían que el malware buscara y robara información asociada a esos bancos. Una vez que los clientes de Kuzmin conseguían infectar los ordenadores de las víctimas con Gozi, el malware hacía que la información de las cuentas bancarias de las víctimas se enviara a un servidor que Kuzmin controlaba, donde, siempre que los delincuentes hubieran pagado su cuota semanal de alquiler, Kuzmin les daba acceso a ella.

El siguiente en enfrentarse a un tribunal estadounidense fue el experto en “inyección web” Čalovskis, que fue detenido en su Letonia natal, pero se resistió con éxito a la extradición durante dos años, argumentando que la pena máxima a la que se enfrentaba en EE.UU., que el DOJ cifraba abiertamente en la friolera de 67 años, no era razonable según los criterios letones.

Pero las autoridades estadounidenses y letonas parecen haber llegado a un punto intermedio por el que Čalovskis se enfrentaría a una condena mutuamente aceptable, supuestamente de no más de dos años, tras lo cual sería enviado a juicio.

Entonces, Čalovskis se declaró culpable, admitió que “sabía que lo que hacía era contrario a la ley”, y recibió una condena de 21 meses, equivalente al tiempo que ya había estado encarcelado en Letonia y Estados Unidos.

Por fin en la cárcel

El que más tiempo estuvo a salvo de la justicia fue Paunescu, que permaneció en libertad durante ocho años hasta que lo detuvieron en junio de 2021 en el aeropuerto internacional de Bogotá (Colombia).

Al parecer, los colombianos se pusieron entonces en contacto con el cuerpo diplomático estadounidense, suponiendo que Estados Unidos seguía considerando a Paunescu una “persona de interés”, y preguntando si Estados Unidos quería solicitar su extradición desde Colombia para ser juzgado en América.

Como puedes imaginar, la respuesta de Estados Unidos fue: “Definitivamente sí”, y Paunescu llegó finalmente a Estados Unidos para enfrentarse a la justicia en julio de 2022.

Paunescu se declaró culpable en febrero de 2023, y finalmente fue condenado en un tribunal federal de Manhattan ayer [12/06/2023], mucho más de una década después de su actividad delictiva y de su acusación original.

[Paunescu, también conocido por el alias] “Virus”, fue condenado hoy a tres años de prisión […] por conspiración para cometer intrusión informática en relación con la gestión de un servicio de “alojamiento a prueba de balas” que permitió a los ciberdelincuentes distribuir el virus Gozi, el troyano Zeus, el troyano SpyEye y el malware BlackEnergy, todos ellos diseñados para robar información financiera confidencial.

Paunescu también permitió otros ciberdelitos, como iniciar y ejecutar ataques distribuidos de denegación de servicio (DDoS) y transmitir spam.

Se le descontarán los 14 meses que ya ha pasado bajo custodia en espera de extradición y juicio, por lo que le quedan por cumplir algo menos de dos años.

También tiene que entregar 3.510.000 dólares y pagar una indemnización de casi 20.000 dólares.

Ha llevado mucho tiempo, pero al final el FBI y el Departamento de Justicia han atrapado a los tres sospechosos…