El FBI incauta los dominios de NightmareStresser, ligado a cientos de miles de DDoS

El Departamento de Justicia de Estados Unidos ha incautado por orden judicial los dominios nightmare-stresser[.]com y nightmarestresser[.]org, dos de las direcciones del servicio de DDoS por encargo NightmareStresser. Quien entra ahora en cualquiera de las dos se encuentra un cartel de incautación firmado por el FBI. La operación la firman también la Fiscalía del Distrito de Alaska y la Royal Canadian Mounted Police, y se enmarca en la iniciativa internacional Operation PowerOFF.

Los booters como este se anuncian como utilidades de stress testing, pero llevan años usándose para tumbar servicios de terceros. Según el comunicado del Departamento de Justicia, entre las víctimas hay instituciones educativas, agencias gubernamentales y plataformas de juego, repartidas entre Estados Unidos y otros países. El propio departamento añade que estos ataques no solo afectan al objetivo directo: degradan servicios de internet compartidos y pueden cortar conexiones por completo.

566.000 usuarios y 52 servidores

La infraestructura no era pequeña. Un informe de Searchlight Cyber de finales de 2023 cifraba en más de 566.000 los usuarios registrados en la plataforma y en 52 los servidores asociados, según recoge el análisis de la firma. El panel dejaba elegir la IP o la URL objetivo, el puerto y el número de ataques concurrentes. El pago se hacía en criptomonedas y el servicio presumía de un sistema de referidos que acreditaba comisiones por cada renovación o compra de los usuarios captados, aunque no compraran en el momento.

En el apartado técnico, NightmareStresser ofrecía métodos de amplificación de capa 4 y distintos bypass sobre UDP/TCP, además de capa 7, con la promesa de saltarse CAPTCHAs, geobloqueos y límites de tasa. También vendía un botón "Stop All" para cortar de golpe todos los floods activos, en capa 4, en capa 7 o en ambas. En su web, ya retirada, el servicio se jactaba de llevar ocho años funcionando sin caerse ni una vez. El dominio .org estaba además protegido contra DDoS por BlazingFast, según copias archivadas en Internet Archive: el proveedor de protección del atacante también es un servicio que puede caer.

Operation PowerOFF

No es la primera vez que este nombre aparece en una incautación. En diciembre de 2022, el dominio nightmarestresser[.]com estuvo entre los 48 que el DoJ se llevó por delante. En abril de este año, otra tanda dejó 53 dominios fuera de juego y cuatro detenidos vinculados a servicios comerciales de DDoS que habían usado más de 75.000 ciberdelincuentes. Sumando todas las actuaciones, las autoridades han imputado a doce personas y han incautado más de 100 dominios de booters.

Para quien opera servicios expuestos, la incautación de dominios es una buena noticia a medias. Corta el acceso al panel desde esas direcciones, pero el negocio de tumbar a otros sigue teniendo demanda y los operadores pueden reaparecer bajo otro nombre en cuestión de semanas, como ya ha pasado en rondas anteriores. Lo que sí queda es material útil: los registros de los servidores intervenidos y la lista de usuarios, que en casos previos han acabado alimentando investigaciones posteriores.