Una red criminal global desmantelada: qué era SocksEscort
Una operación internacional de fuerzas del orden puso fin a SocksEscort, un servicio de proxy-for-hire que llevaba años operando en las sombras del cibercrimen global. La plataforma alquilaba acceso a decenas de miles de routers domésticos y de pequeñas oficinas (SOHO) previamente comprometidos, permitiendo a cibercriminales de todo el mundo lanzar ataques de ransomware, campañas de DDoS y distribuir material de abuso sexual infantil, todo ello enmascarado detrás de direcciones IP residenciales legítimas.
Este tipo de servicio —conocido en el ecosistema del cibercrimen como botnet de proxies residenciales— es especialmente peligroso porque hace que el tráfico malicioso parezca provenir de usuarios comunes, dificultando enormemente su detección y bloqueo por parte de los sistemas de seguridad convencionales.
Cómo funcionaba la botnet: el negocio de alquilar routers comprometidos
El modelo de negocio de SocksEscort era tan sencillo como peligroso: infectar silenciosamente routers sin actualizar o ya fuera de soporte técnico, incorporarlos a una red de bots y luego alquilar ese acceso a cibercriminales mediante una interfaz de usuario accesible, con suscripciones mensuales de bajo costo.
👥 ¿Quieres ir más allá de la noticia?
En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.
👥 Unirme a la comunidadEl vector de ataque: routers SOHO sin parches
Los dispositivos objetivo eran principalmente routers de marcas como Linksys y Cisco que ya no recibían actualizaciones de seguridad por parte de sus fabricantes. Al explotar vulnerabilidades conocidas en el firmware desactualizado, el malware —documentado por investigadores de Lumen’s Black Lotus Labs bajo el nombre AVRecon— lograba instalarse de forma sigilosa, reconfigurar el dispositivo y convertirlo en un nodo proxy.
Infraestructura técnica y escala
Una vez infectado, cada router se comunicaba periódicamente con servidores de comando y control (C2), estableciendo un canal de dos vías que mantenía el dispositivo disponible para su alquiler. Investigadores de seguridad identificaron hasta 15 servidores C2 de segunda etapa, con infraestructura rastreada en Turquía. En su punto máximo, la botnet llegó a comprometer más de 70.000 dispositivos únicos en al menos 20 países, con una media semanal de 1.000 bots activos conectados simultáneamente a la infraestructura criminal.
La operación de desmantelamiento: agencias y alcance internacional
El cierre de SocksEscort fue el resultado de una coordinación multilateral entre agencias de seguridad de distintos países. Entre las entidades confirmadas en operaciones similares relacionadas con esta infraestructura se encuentran el FBI (incluyendo el Oklahoma City Cyber Task Force), el Departamento de Justicia de Estados Unidos, la Policía Nacional de los Países Bajos (Politie) y la Policía de Tailandia, con apoyo técnico fundamental de investigadores privados de Lumen Technologies.
Durante la operación se procedió a la incautación de dominios asociados al servicio, el bloqueo de los servidores C2 mediante null-routing del tráfico malicioso y la presentación de cargos formales contra varios ciudadanos extranjeros vinculados a la gestión de la infraestructura criminal.
El daño económico y el alcance de los delitos
Operaciones similares vinculadas a esta misma infraestructura habían generado ingresos superiores a 46 millones de dólares a lo largo de más de dos décadas de actividad ininterrumpida. Los servicios se ofertaban en foros de cibercrimen a precios de entre 9,95 y 110 dólares al mes, democratizando el acceso a herramientas de ataque sofisticadas para actores con recursos limitados. Las víctimas principales se concentraban en Estados Unidos, Canadá y América Latina.
Por qué esto importa para founders y empresas tech en LATAM
Para los ecosistemas de startups y empresas tecnológicas en América Latina, este caso no es solo una noticia de ciberseguridad lejana: es una advertencia directa. Las botnets como SocksEscort se nutren de dispositivos olvidados y sin mantenimiento. Un router corporativo sin actualizar, una VPN mal configurada o un dispositivo IoT sin supervisión puede convertirse en un nodo dentro de una red criminal sin que el propietario lo sepa jamás.
Señales de alerta y buenas prácticas
Desde una perspectiva operativa, los founders y equipos de tecnología deben considerar las siguientes medidas preventivas:
- Inventario de dispositivos de red: conocer qué routers, switches y dispositivos IoT están conectados a la infraestructura de la empresa, especialmente en trabajo remoto o en oficinas distribuidas.
- Actualización de firmware: verificar que todos los dispositivos de red cuenten con el firmware más reciente y reemplazar aquellos que ya no reciben soporte del fabricante.
- Segmentación de red: aislar los dispositivos críticos del negocio de los equipos personales o de IoT dentro de la misma red.
- Monitoreo de tráfico saliente: patrones inusuales de tráfico saliente pueden ser el primer indicio de que un dispositivo ha sido comprometido y opera como proxy.
- Contraseñas por defecto: cambiar inmediatamente las credenciales de administración de fábrica en cualquier dispositivo de red; este sigue siendo uno de los vectores de entrada más explotados.
El contexto más amplio: las botnets residenciales como infraestructura criminal persistente
El caso de SocksEscort no es un hecho aislado. Operaciones similares como Anyproxy y 5Socks (desmanteladas en mayo de 2025 bajo la Operación Moonlander) demuestran que existe un ecosistema criminal establecido y rentable alrededor del alquiler de proxies residenciales comprometidos. Estas redes se han utilizado para:
- Ataques de ransomware dirigidos a empresas y entidades gubernamentales.
- Campañas masivas de DDoS contra infraestructura crítica.
- Fraude publicitario a escala industrial (ad fraud).
- Ataques de fuerza bruta y password spraying contra plataformas SaaS.
- Distribución de contenido ilegal aprovechando la cobertura de IPs residenciales legítimas.
El FBI ha advertido explícitamente sobre el uso de este tipo de infraestructura por parte de actores estatales chinos para operar contra infraestructura crítica estadounidense, lo que eleva el nivel de amenaza más allá del cibercrimen tradicional.
Conclusión
El desmantelamiento de SocksEscort es una victoria significativa para la ciberseguridad global, pero también es un recordatorio de que las amenazas más peligrosas no siempre provienen de exploits de día cero o malware sofisticado. A veces, el eslabón más débil es el router que lleva años en el rack sin que nadie lo revise.
Para las startups y equipos tech de LATAM que operan con infraestructura distribuida, trabajo remoto y dispositivos propios de los empleados (BYOD), la higiene de red no es un lujo: es una necesidad operativa. Cada dispositivo descuidado es una potencial puerta trasera para redes criminales que generan decenas de millones de dólares en daños cada año.
La ciberseguridad es, en última instancia, un tema de resiliencia empresarial. Y en el ecosistema startup, donde los recursos son limitados y la reputación lo es todo, un incidente de seguridad puede ser tan devastador como perder a tu mejor cliente.
Profundiza estos temas con nuestra comunidad de expertos y founders que ya protegen sus startups.
Fuentes
- https://techcrunch.com/2026/03/12/law-enforcement-shuts-down-botnet-made-of-tens-of-thousands-of-hacked-routers/ (fuente original)
- https://www.bitdefender.com/en-us/blog/hotforsecurity/massive-avrecon-botnet-infiltrates-70-000-devices-tied-to-socksescort-service (fuente adicional)
- https://securityaffairs.com/149007/hacking/avrecon-bot-socksescort.html (fuente adicional)
- https://therecord.media/5socks-anyproxy-botnets-takedown-russians-kazakhstani-charged (fuente adicional)
- https://www.helpnetsecurity.com/2025/05/12/law-enforcement-takes-down-proxy-botnets-5socks-anyproxy-used-by-criminals/ (fuente adicional)
- https://krebsonsecurity.com/2022/08/no-socks-no-shoes-no-malware-proxy-services/ (fuente adicional)
