### Siete órdenes de detención contra miembros de NoName057(16), el colectivo de cibercrimen prorruso especializado en ataques DDoS

#### Introducción

Las autoridades nacionales han emitido siete órdenes de detención en relación con el grupo de cibercrimen NoName057(16), una organización reconocida por su implicación en campañas coordinadas de ataques de denegación de servicio distribuido (DDoS) contra entidades consideradas hostiles a los intereses rusos. Este desarrollo subraya la presión creciente de los organismos de seguridad europeos sobre colectivos hacktivistas con motivaciones geopolíticas y el avance en la identificación y persecución de los actores clave detrás de incidentes disruptivos en la infraestructura digital europea.

#### Contexto del Incidente o Vulnerabilidad

NoName057(16), activo desde al menos 2022, se ha convertido en un actor relevante en el panorama del cibercrimen europeo, de naturaleza hacktivista y orientación prorrusa. El colectivo se caracteriza por reclutar seguidores, principalmente a través de canales de Telegram y foros clandestinos, para orquestar campañas de DDoS contra organismos gubernamentales, entidades financieras, empresas de infraestructuras críticas y medios de comunicación de Estados miembros de la OTAN y la UE.

Las detenciones y órdenes judiciales se producen tras una investigación coordinada entre varios países europeos, donde la colaboración entre unidades de ciberdelincuencia, CERTs nacionales e Interpol ha resultado clave. NoName057(16) se había atribuido públicamente ataques recientes contra infraestructuras críticas del sector energético y financiero de Europa Central y del Norte, coincidiendo con picos de tensión en el conflicto de Ucrania.

#### Detalles Técnicos

NoName057(16) utiliza principalmente ataques DDoS de capa 7 (aplicación), con énfasis en el agotamiento de recursos de servidores web y APIs mediante el envío masivo de solicitudes HTTP/HTTPS. Se han identificado múltiples vectores y tácticas, técnicas y procedimientos (TTP) alineados con el marco MITRE ATT&CK, destacando:

– **T1584.001 (Compromise Infrastructure: Botnets):** El grupo gestiona una botnet propia y, además, incentiva a voluntarios a desplegar herramientas de ataque como «DDoSia», desarrollada en Python y publicada abiertamente en GitHub.
– **T1499 (Endpoint Denial of Service):** Uso de ataques volumétricos y a nivel de aplicación para saturar servicios expuestos.
– **T1071.001 (Application Layer Protocol: Web Protocols):** Manipulación de HTTP(S) para evadir mitigaciones básicas y maximizar el impacto.

Las investigaciones han identificado indicadores de compromiso (IoC) asociados, como direcciones IP de origen, dominios de comando y control y hashes de binarios de herramientas de ataque. Se han registrado ataques que superan los 500 Gbps en campañas recientes, con duraciones superiores a las 24 horas. Según el CSIRT europeo, hasta un 35% de las organizaciones financieras de Polonia, República Checa y los Estados Bálticos experimentaron interrupciones temporales durante las olas de ataque de 2023.

#### Impacto y Riesgos

El impacto de las operaciones de NoName057(16) se traduce en pérdidas económicas directas por interrupciones de servicio, degradación de la confianza en los servicios digitales críticos y exposición a riesgos de seguridad secundaria (p. ej., como cortina de humo para intrusiones o exfiltración de datos). Las afectaciones han supuesto desde indisponibilidad de portales gubernamentales hasta el colapso temporal de pasarelas de pago, con afectación potencial a la resiliencia digital exigida por el Reglamento NIS2 y la Directiva CER.

El coste estimado para organizaciones afectadas supera los 10 millones de euros en 2023, considerando únicamente los daños directos y la recuperación de servicios, sin incluir el impacto reputacional ni las posibles sanciones bajo el GDPR por incidentes derivados.

#### Medidas de Mitigación y Recomendaciones

Las medidas técnicas efectivas contra estos ataques incluyen:

– Implementación de soluciones de mitigación DDoS en el perímetro y a nivel de aplicación (WAF con capacidades anti-DDoS, scrubbing centers, etc.).
– Identificación y bloqueo proactivo de IoC publicados por los CERTs nacionales y plataformas como VirusTotal o MISP.
– Pruebas periódicas de resiliencia (DDoS stress testing) y simulacros de respuesta a incidentes.
– Refuerzo de la segmentación de red y escalado automático de recursos en la nube para absorber picos de tráfico.
– Monitorización continua de canales de Telegram y foros públicos para detección temprana de amenazas.

Asimismo, se recomienda la revisión y actualización de los procedimientos de respuesta ante ataques DDoS y la colaboración con los organismos nacionales y europeos de ciberseguridad.

#### Opinión de Expertos

Analistas de Threat Intelligence como Josep Albors (ESET España) y responsables de equipos SOC de grandes entidades financieras europeas coinciden en que la capacidad de coordinación y la motivación ideológica de NoName057(16) lo diferencian de otras operaciones DDoS meramente lucrativas. Destacan la dificultad de atribución técnica ante el uso de voluntarios y la necesidad de reforzar la cooperación internacional y el intercambio de inteligencia.

#### Implicaciones para Empresas y Usuarios

Las empresas, especialmente aquellas clasificadas como operadores de servicios esenciales bajo NIS2, deben considerar los ataques DDoS politizados como una amenaza persistente. La protección frente a estos ataques no solo implica inversión en tecnología, sino también en formación y simulacros, así como una vigilancia activa de campañas hacktivistas en curso. Los usuarios finales pueden experimentar interrupciones en servicios críticos, pero no suelen ser objetivo directo salvo en incidentes de amplia escala.

#### Conclusiones

Las acciones policiales contra NoName057(16) constituyen un avance significativo en la lucha contra el hacktivismo coordinado y politizado en Europa. Sin embargo, la resiliencia frente a ataques DDoS requiere una aproximación holística, combinando tecnología, inteligencia y cooperación internacional. La evolución de la amenaza demanda una adaptación continua por parte de los responsables de ciberseguridad corporativa y de los organismos reguladores.

(Fuente: www.darkreading.com)