Israel arresta a un experto en ciberseguridad sospechoso de hackear empresas israelíes.

La policía israelí detuvo a un especialista en seguridad informática que, según la investigación, cuando no estaba protegiendo redes corporativas las infectaba él mismo con software malicioso. Un residente de Ashkelon de unos 40 años es sospechoso de haber vulnerado decenas de empresas israelíes y de robar datos confidenciales.

La detención se realizó el 18 de agosto tras una investigación de varios meses. La unidad cibernética Lahav 433 registró la casa del sospechoso y confiscó equipos informáticos. Los investigadores también registraron varias empresas. El tribunal inicialmente dejó al hombre bajo custodia otros seis días, y por petición de la defensa se prohibió publicar su nombre.

Según medios israelíes, el sospechoso trabajaba como especialista en seguridad informática en una importante empresa integradora local. La investigación considera que el hombre actuó por cuenta propia y no tenía antecedentes penales. Se le imputan violaciones a la ley de informática, escuchas ilegales, vulneración de la privacidad y otros delitos. Aún no se ha dictado sentencia condenatoria y el motivo de las supuestas acciones sigue siendo desconocido.

La historia comenzó a finales de abril, cuando un cliente de la empresa israelí Profero pidió que se revisara un archivo sospechoso. Los especialistas encontraron WindowsAudit.exe, un inusual RAT en .NET 8, que se ejecutaba con privilegios del sistema y transformaba el equipo infectado en una herramienta completa de control remoto.

WindowsAudit usaba Discord como canal principal de control, MQTT como alternativo y podía cambiar a Telegram. El malware podía robar credenciales, trabajar con Active Directory, registrar pulsaciones de teclas, capturar pantallas y imágenes de la cámara web, crear túneles mediante WireGuard y eliminar EDR después de iniciar Windows en modo seguro.

Los autores de WindowsAudit cometieron un error que finalmente permitió identificar al operador. En cada copia del programa había un token sin cifrar de un bot de Discord. Al obtener ese token, el equipo de Profero pudo observar la infraestructura del atacante, analizar el historial de canales y recopilar allí los resultados de los comandos. En los datos aparecieron nombres de hosts, capturas de pantalla, información sobre Active Directory y otra información de redes de distintas organizaciones.

Profero confirmó al menos 25 organizaciones afectadas por separado. En algunas redes el atacante obtuvo privilegios de administrador de dominio, suficientes, por ejemplo, para desplegar masivamente un cifrador. Los medios israelíes admiten que el número real de empresas afectadas podría ser de decenas o incluso cientos.

La pista llevó a los especialistas a CERT-IL y a la policía. Profero entregó a las autoridades una línea temporal recopilada, artefactos técnicos y datos que vinculaban infecciones concretas con organizaciones específicas. El material permitió convertir una investigación de incidente habitual en un caso penal.

Llamó la atención el método de desarrollo de WindowsAudit. Según Profero, el autor aplicaba activamente herramientas de programación con IA y distribuía el malware, entre otros, a través de canales inusuales relacionados con software de juegos y programas infantiles. Parte de la cadena de infección también pasaba por un componente de seguridad legítimo ya instalado en redes corporativas; no obstante, no se revela públicamente el nombre del desarrollador.

La policía continúa la investigación y aún no ha informado del volumen total de información robada. No se detectaron indicios de chantaje a las empresas afectadas hasta el momento de la detención. Como resultado, la investigación que comenzó con un archivo sospechoso derivó en un caso poco frecuente en el que una persona del ámbito profesional de la ciberseguridad resultó ser la principal sospechosa de una serie a gran escala de intrusiones corporativas.