Contenidos
La Guardia Civil detuvo el 19 de noviembre en una localidad de la Comunidad de Madrid a un joven de 23 años al que señala como creador del virus KELAR, también conocido como RALEKA. Según el instituto armado, el programa afectó en agosto a más de 120.000 usuarios de la red. El arrestado, identificado con las iniciales A.C.P. y apodado 900K, cayó en la denominada operación «AKELARRE». La Guardia Civil afirma que es el primer operativo contra un diseñador de virus español con un índice de infección tan elevado.
Un virus KELAR que ponía miles de equipos al servicio de su autor
El programa se propagaba aprovechando una vulnerabilidad de los sistemas Windows 2000 y XP. El virus, denominado KELAR o RALEKA, fue detectado por las empresas antivirus. Su autor, por su parte, lo había llamado «BEMDER».
De acuerdo con la Guardia Civil, los equipos afectados por el virus KELAR quedaban a disposición de su creador. Este podía vulnerar la intimidad de los usuarios, causar daños en sus sistemas o usarlos en ataques contra terceros. Además, en solo catorce días de actividad alcanzó un nivel de infección contrastado de más de 120.000 usuarios.
Cómo empezó la investigación
Las pesquisas arrancaron en agosto. Entonces, el Departamento de análisis de virus de la empresa Panda Software comunicó a la Guardia Civil la existencia del programa. También trasladó la sospecha de que podía tener un origen español.
Los indicios apuntaban a un grupo de «phreakers», personas dedicadas al fraude en telecomunicaciones, que se hacía llamar AKELARRE. El grupo comenzó su andadura hacia 1998. Después atravesó un período de aparente inactividad y reapareció orientado al «hacking». Sus integrantes usaban los apodos 900K, DOING, SANITY, DEBYSS y DARKEAGLE. El primero era el líder.
La investigación técnica sobre el programa y sobre los miembros del grupo permitió llegar al detenido. Los agentes lo consideran responsable y creador del virus KELAR. Por otra parte, realizaron tres registros domiciliarios, en los que intervinieron ocho equipos informáticos.
El funcionamiento del virus KELAR paso a paso
El gusano explotaba un fallo del servicio RPC (Remote Procedure Call) a través del puerto TCP/135. Se trata del mismo agujero de seguridad que aprovecha el conocido «Blaster». Además, se autorreplicaba a través de las máquinas infectadas.
Tras la infección, cada ordenador se conectaba a un sitio web ubicado en el extranjero. Ese sitio lo redirigía a otro alojado en un servidor español, Arrakis. Desde allí se descargaba una actualización del virus y un troyano llamado «NTROOKIT».
Luego, el equipo accedía a la página de Microsoft para bajar el parche del RPC. De ese modo impedía que otro «hacker» entrara por la misma vulnerabilidad. Al mismo tiempo, evitaba levantar sospechas en el usuario.
Por último, el virus incluía un cliente de IRC. Con él se conectaba a varias redes de chat, en el canal «atolondra0». Allí esperaba órdenes del autor, que debía entrar con el nick «mend0za». Su objetivo era lanzar ataques de denegación de servicio (DoS).
Efectos casi invisibles para el usuario
Para la persona afectada, los efectos del virus KELAR eran transparentes. Solo podía notar una ralentización de su tráfico en Internet. Sin embargo, su ordenador quedaba conectado a la espera de órdenes para realizar ataques de denegación de servicio.
Además, el creador podía controlar las máquinas y acceder a todo su contenido. También podía usarlas como puentes para atacar a terceros.
El 27 de agosto se descubrió la existencia del programa. Ese día, la empresa Arrakis retiró la página desde la que se descargaban la actualización y el troyano. Hasta esa fecha, 14 días después de su creación, se contabilizaron más de 120.000 ordenadores infectados. Aun así, la Guardia Civil sospecha que siguió extendiéndose entre usuarios sin antivirus actualizado ni el parche de Microsoft.
La operación contra el virus KELAR, un «hito» para la Guardia Civil
Efectivos del Grupo de Delitos Telemáticos (GDT) de la Unidad Central Operativa de la Guardia Civil llevaron adelante la operación. En tanto, contaron con la colaboración de Panda Software, empresa española de antivirus y seguridad informática.
El instituto armado considera que el caso del virus KELAR supone «un hito en la lucha contra la delincuencia informática en nuestro país». Además, lo presenta como el primer servicio realizado contra un diseñador de virus español con tan elevado índice de infección.