Gameover ZeuS

Zeus es una familia de troyanos y software malicioso relacionado que apareció por primera vez en 2007. ^{[ 1 ] [ 2 ]} La característica principal de las variantes de Zeus es su capacidad para integrar máquinas infectadas en botnets , sistemas de múltiples dispositivos que podrían controlarse remotamente a través del malware. ^{[ 3 ]}

El creador y desarrollador principal del Zeus original fue Evgeniy Bogachev, también conocido como "lucky12345" y "slavik". ^{[ 4 ] [ 5 ]} La versión original de Zeus era un "kit de malware": un ciberdelincuente potencial compraba una licencia para usar una copia de Zeus u obtenía una versión inferior y gratuita. ^{[ 6 ] [ 7 ]} Con la licencia, el comprador podía usar Zeus para crear su propio troyano, que podía usar como quisiera. ^{[ 8 ]} A finales de 2010, Bogachev anunció que se retiraba del cibercrimen y entregaba el código de Zeus a un competidor llamado SpyEye . Los investigadores de seguridad vieron la decisión con escepticismo, ya que Bogachev había anunciado su retiro en múltiples ocasiones anteriores solo para regresar con una versión mejorada de Zeus. ^{[ 9 ]} De hecho, Bogachev no se había retirado, sino que había pasado de vender Zeus como un kit de malware al submundo criminal general a vender acceso a versiones completas del troyano a una clientela más reducida. ^{[ 10 ]} Esta versión "privada" de Zeus se conoció como Zeus 2.1 o Jabber Zeus . Los delitos facilitados por Jabber Zeus eran llevados a cabo por un sindicato del crimen organizado, del cual Bogachev era un miembro clave, que se disolvió en gran medida en 2010 debido a la acción policial. ^{[ 11 ]}

GameOver ZeuS fue creado el 11 de septiembre de 2011, como una actualización de Zeus 2.1. ^{[ 12 ]} En mayo de 2011, el código fuente de Zeus se filtró, lo que resultó en una proliferación de variantes. ^{[ 13 ] [ 14 ]} Los investigadores de seguridad han atribuido la filtración a Bogachev o a Aleksandr Panin, el creador de SpyEye. ^{[ 15 ]} El asesor de ciberseguridad Sean Sullivan señaló que la filtración fue conveniente para Bogachev, quien pudo reenfocarse en nuevas empresas criminales mientras los investigadores estaban distraídos por las nuevas variantes de Zeus.

Los investigadores tuvieron conocimiento de la botnet GameOver ZeuS en 2011. En enero de 2012, el FBI emitió advertencias a las empresas indicándoles que estuvieran atentas a GOZ. ^{[ 16 ]} El nombre "GameOver ZeuS" fue inventado por investigadores de seguridad y proviene de un archivo llamado "gameover2.php " utilizado por el canal C2. ^{[ 11 ] [ 17 ]} Otros nombres han incluido ZeuS peer-to-peer, ZeuS3, ^{[ 18 ]} y GoZeus. ^{[ 19 ]} El malware era conocido dentro de la red criminal de Bogachev como Mapp 13, siendo "13" el número de versión . ^{[ 12 ]}

GameOver ZeuS se propagó mediante correos electrónicos no deseados que suplantaban la identidad de diversos grupos, como minoristas en línea, instituciones financieras y compañías de telefonía móvil. Estos correos contenían un enlace a un sitio web comprometido desde donde se descargaba el malware. Dichos correos se enviaban a través de una botnet diferente, Cutwail , que los ciberdelincuentes alquilaban con frecuencia para enviar spam. ^{[ 13 ]}

El uso de GameOver ZeuS era gestionado por Bogachev y un grupo que se autodenominaba el "club de negocios". Este club estaba compuesto principalmente por delincuentes que habían pagado una cuota para poder usar la interfaz de GOZ. En 2014, el club contaba con unos cincuenta miembros, ^{[ 11 ]} en su mayoría rusos y ucranianos. ^{[ 20 ]} La red también empleaba personal de soporte técnico para el malware. ^{[ 21 ]} Los miembros de la red criminal estaban repartidos por toda Rusia, pero los miembros principales, como Bogachev, se encontraban principalmente en Krasnodar . ^{[ 4 ]} Los miembros del club de negocios no utilizaban exclusivamente GOZ y a menudo pertenecían a otras redes de malware. ^{[ 22 ]} No obstante, el Departamento de Justicia de los Estados Unidos (DOJ) describió a los miembros del grupo como "muy unidos". ^{[ 23 ]}

Además del club de negocios, se reclutó a un gran número de mulas de dinero para blanquear fondos robados. Estas mulas, radicadas en Estados Unidos para evitar sospechas, fueron reclutadas mediante correos electrónicos no deseados enviados por la red de bots GOZ, que ofrecían trabajo a tiempo parcial. ^{[ 24 ]} Las mulas de dinero desconocían que estaban manejando fondos robados o trabajando para una organización criminal. ^{[ 25 ]}

El club empresarial controló toda la actividad de GameOver ZeuS desde 2011 hasta 2014. El sindicato utilizó principalmente GOZ para cometer fraudes bancarios y extorsiones; sin embargo, se sabía que existían otras fuentes de ingresos, como el fraude por clics y el alquiler de la red de bots. ^{[ 11 ]}

GameOver ZeuS se utilizaba normalmente para robar credenciales bancarias, comúnmente de hospitales. Esto se hacía principalmente mediante el registro de pulsaciones de teclas . ^{[ 26 ]} Sin embargo, el malware era capaz de usar el secuestro del navegador para eludir la autenticación de dos factores , y su interfaz tenía un panel especial de "captura de tokens" para facilitar estos ataques de hombre en el navegador , ^{[ 27 ]} titulado "Centro del Banco Mundial" y con el eslogan "estamos jugando con sus bancos". ^{[ 4 ]} Al presentar a la víctima una versión falsa de la página de inicio de sesión de su banco, un delincuente podía solicitar cualquier código o información necesaria para acceder a la cuenta de la víctima. Una vez que la víctima "iniciaba sesión" en la página falsa con esta información, recibía una pantalla de "espere por favor" o de error mientras las credenciales se enviaban a los delincuentes. Con esta información, los operadores del malware podían acceder a la cuenta bancaria y robar dinero, ^{[ 27 ]} generalmente cientos de miles o millones de dólares. ^{[ 11 ]} En un caso, se robaron 6,9 millones de dólares a una sola víctima. ^{[ 28 ]} En 2013, GOZ representó el 38% de los robos perseguidos de esta manera. ^{[ 29 ]}

A partir de noviembre de 2011, los operadores de GOZ realizaban ataques DDoS contra sitios web bancarios cuando robaban grandes cantidades de dinero, con el fin de impedir que la víctima iniciara sesión y desviar la atención de los administradores de red del robo. Los ataques DDoS se realizaban utilizando un kit comercial llamado "Dirt Jumper". ^{[ 13 ] [ 30 ]} El dinero robado se canalizaba a través de una extensa red de intermediarios financieros antes de llegar a los delincuentes, ocultando así su origen y destino a las autoridades. ^{[ 24 ]} Para junio de 2014, se habían robado más de 100 millones de dólares solo en Estados Unidos. ^{[ 31 ] [ 32 ]}

El desvío de dinero seguía la línea del día y la noche , comenzando en Australia y terminando en Estados Unidos. Los delincuentes involucrados en el movimiento de dinero trabajaban turnos de nueve a cinco de lunes a viernes, cediendo responsabilidades al equipo que estuviera al oeste de ellos al finalizar su turno. ^{[ 4 ]} El destino final de la mayoría de las transferencias de dinero eran empresas fantasma con sede en el condado de Raohe y la ciudad de Suifenhe , dos regiones de la provincia china de Heilongjiang en la frontera entre China y Rusia . ^{[ 33 ]}

La interfaz que controlaba la botnet podía utilizarse para leer los datos registrados por los bots y ejecutar comandos. ^{[ 34 ]} Además del panel de captura de tokens, existía otro panel para facilitar el desvío de dinero de cuentas bancarias, permitiendo al usuario seleccionar una "cuenta de destino" a la que se enviaría el dinero indirectamente. ^{[ 35 ]} Los administradores de la botnet también podían cargar sus propios scripts para usarlos contra los sistemas infectados, con la salvedad de que no podían atacar ordenadores rusos. ^{[ 36 ]}

En 2013, el club de negocios comenzó a usar GameOver ZeuS para distribuir CryptoLocker , un ransomware que cifraba el contenido de las computadoras de las víctimas y exigía el pago en vales de efectivo prepagados o bitcoin a cambio de una clave de descifrado. ^{[ 24 ]} Josephine Wolff, profesora asistente de política de ciberseguridad en la Universidad de Tufts , ^{[ 37 ]} ha especulado que la motivación detrás del cambio al ransomware fue por dos razones. En primer lugar, el ransomware era un medio más seguro para ganar dinero de GOZ que el robo bancario, ya que el ransomware podía obtener dinero de las víctimas con menos trabajo por parte de los criminales y los métodos de pago anónimos no necesitaban ser blanqueados a través de mulas de dinero, ^{[ 24 ]} cuya lealtad estaba en duda porque no sabían que estaban trabajando para criminales. En segundo lugar, el ransomware aprovechaba el acceso de los criminales a datos en las computadoras infectadas que eran importantes para las víctimas pero que no tenían valor inmediato para los criminales, como fotografías y correos electrónicos. ^{[ 38 ]} El periodista Garrett Graff también ha sugerido que el ransomware sirvió para "transformar la carga muerta en ganancias" al extraer dinero de víctimas cuyos saldos bancarios eran demasiado pequeños como para justificar un robo directo. ^{[ 11 ]}

Entre 200.000 y 250.000 ordenadores fueron atacados por Cryptolocker a partir de 2013. ^{[ 28 ] [ 39 ]} Se desconoce la cantidad de dinero que Bogachev y sus asociados ganaron con CryptoLocker; Wolff afirmó que solo en un mes, de octubre a diciembre de 2013, se robaron 27 millones de dólares. ^{[ 40 ]} Sin embargo, Michael Sandee, uno de los investigadores que ayudó a desmantelar la botnet original GameOver ZeuS, ha dado una estimación mucho menor de 3 millones de dólares para toda la duración de la actividad de CryptoLocker. ^{[ 41 ]} Wolff ha argumentado que el legado de GameOver ZeuS no reside en su innovadora estructura de botnet P2P, sino en el precedente que sentó en CryptoLocker para futuros ataques de ransomware. ^{[ 42 ]}

El análisis de la botnet ha revelado intentos de buscar información secreta y sensible en computadoras comprometidas, particularmente en Georgia, Turquía, Ucrania, ^{[ 43 ]} y Estados Unidos, lo que lleva a los expertos a creer que GameOver ZeuS también se utilizó para espionaje en nombre del gobierno ruso. ^{[ 44 ]} La botnet en Ucrania solo comenzó a realizar tales búsquedas después del colapso del gobierno prorruso del país en medio de una revolución en 2014. ^{[ 45 ]} Los estados miembros de la OPEP también fueron objetivo. ^{[ 20 ]} Las búsquedas se adaptaban al país objetivo: las búsquedas en Georgia buscaban información sobre funcionarios gubernamentales específicos, las búsquedas en Turquía buscaban información sobre Siria, las búsquedas en Ucrania utilizaban palabras clave genéricas como "servicio federal de seguridad" y "agente de seguridad", ^{[ 46 ]} y las búsquedas en EE. UU. buscaban documentos que contenían frases como "alto secreto" y "Departamento de Defensa". ^{[ 44 ]} Las botnets utilizadas para espionaje se operaban por separado de las utilizadas para delitos financieros.

No está claro quién fue específicamente responsable de las operaciones de espionaje; mientras que el investigador de seguridad Tillman Werner, quien ayudó a desmantelar la botnet GOZ original, ha sugerido la posibilidad de que un socio o cliente estuviera involucrado, Sandee ha afirmado que Bogachev fue el principal o único responsable, argumentando que tenía acceso exclusivo a los protocolos de vigilancia del malware y que, debido a que su círculo de asociados criminales incluía ucranianos, tendría que mantener el espionaje en secreto. ^{[ 46 ]} Sandee ha especulado que el uso de la botnet para espionaje le brindó a Bogachev "un nivel de protección" que puede explicar por qué aún no ha sido aprehendido, ^{[ 47 ]} a pesar de vivir abiertamente y bajo su propio nombre en Rusia. ^{[ 44 ]}

Las capacidades de creación de botnets eran comunes a todas las variantes de Zeus; sin embargo, las iteraciones del malware anteriores a GameOver ZeuS crearon botnets centralizadas, en las que todos los dispositivos infectados estaban conectados directamente a un servidor de comando y control (C2). ^{[ 48 ]} GOZ se distinguió de estos casos anteriores al utilizar una infraestructura descentralizada de igual a igual (P2P), ^{[ 48 ]} en la que las computadoras infectadas se comunicaban principalmente entre sí en lugar de con un servidor C2. ^{[ 49 ]} En el pico de actividad de GOZ entre 2012 y 2013, la botnet comprendía entre 500 000 y un millón de computadoras comprometidas. ^{[ 50 ]}

La botnet estaba organizada en tres capas. La capa inferior estaba compuesta por las máquinas infectadas, algunas de las cuales fueron designadas manualmente como "bots proxy" por el grupo criminal. Los bots proxy actuaban como intermediarios entre la capa inferior y una segunda capa proxy compuesta por servidores dedicados propiedad del grupo. La segunda capa servía para crear distancia entre las máquinas infectadas y la capa superior, desde la cual se emitían comandos y a la cual se enviaban datos de las máquinas infectadas. ^{[ 51 ]} Esta infraestructura dificultaba el rastreo de los servidores C2 de la botnet, ya que los operadores de la botnet solo se comunicaban directamente con un pequeño subconjunto de computadoras infectadas a la vez. ^{[ 52 ]} Aunque la botnet en su conjunto estaba estructurada de esta manera, la red estaba particionada en varias "subbotnets", cada una operada por un botmaster diferente. ^{[ 53 ]} Existían hasta 27 de estas subbotnets, pero no todas se utilizaban activamente, ya que algunas existían con fines de depuración. ^{[ 21 ]}

GOZ contenía varias características de seguridad diseñadas para impedir el análisis completo de la botnet, en particular restringiendo las actividades de los rastreadores y sensores ^{[ a ]} , así como para prevenir los intentos de apagado. Muchas de estas características se implementaron para contrarrestar los métodos de ataque comúnmente utilizados contra iteraciones anteriores de Zeus, ^{[ 56 ]} y GameOver ZeuS fue señalada por los investigadores de seguridad Dennis Andriesse y Herbert Bos como una "evolución significativa" y más resistente que sus predecesores. ^{[ 57 ]} La ​​efectividad de estos mecanismos llevó a que GOZ fuera considerada una botnet sofisticada, ^{[ 58 ]} y el Fiscal General Adjunto de los Estados Unidos, James M. Cole, la calificó como "la botnet más sofisticada y dañina que jamás hayamos encontrado". ^{[ 59 ]} El investigador de ciberseguridad Brett Stone-Gross, contratado por el Buró Federal de Investigaciones (FBI) para analizar GameOver ZeuS, reconoció de manera similar que la botnet estaba bien protegida contra los esfuerzos de las fuerzas del orden y los expertos en seguridad. ^{[ 60 ]}

Los rastreadores fueron inhibidos por diversos medios. Cada bot tenía cincuenta pares; ^{[ 61 ]} sin embargo, un bot al que se le solicitaba una lista de sus pares solo devolvía diez. ^{[ 62 ]} Además, la solicitud de listas de pares estaba limitada en frecuencia, de modo que las solicitudes rápidas desde una dirección IP resultaban en que esa dirección fuera marcada como rastreador y se incluyera automáticamente en la lista negra, ^{[ 63 ]} deteniendo toda comunicación entre la IP marcada y el bot que la marcó. Cada bot también tenía una lista preexistente de direcciones incluidas en la lista negra que se sabía que estaban controladas por organizaciones de seguridad. ^{[ 64 ]}

Los sensores fueron inhibidos mediante un mecanismo de filtrado de IP que impedía que varios sensores compartieran una misma dirección IP. El efecto de esto fue impedir que individuos o grupos con una misma dirección IP realizaran ataques de hundimiento en la botnet. ^{[ b ] [ 66 ]} Se sabía que los administradores de bots de GOZ habían llevado a cabo ataques DDoS en respuesta a intentos de hundimiento. ^{[ 67 ]}

En caso de que un bot GOZ no pudiera contactar con ningún par, utilizaría un algoritmo de generación de dominios (DGA) para restablecer el contacto con los servidores C2 y obtener una nueva lista de pares. ^{[ 68 ]} El DGA generaba mil dominios cada semana y cada bot intentaba contactar con cada uno de ellos; esto significaba que si los servidores C2 actuales de la botnet corrían el riesgo de ser desactivados, los botmasters podían configurar un nuevo servidor utilizando un dominio de la lista generada y restablecer el control sobre la red. ^{[ 52 ]} Los servidores mismos eran proporcionados por un servicio de alojamiento a prueba de balas y eran difíciles de desactivar porque no tenían direcciones IP reales; el tráfico se enrutaba desde direcciones IP virtuales que no correspondían a ningún dispositivo. Por lo tanto, desactivar las direcciones no afectaría a los servidores. ^{[ 69 ]}

Las comunicaciones entre bots estaban cifradas . El algoritmo utilizado para ello cambió con el tiempo: antes de junio de 2013, GOZ utilizaba un cifrado XOR , pero los nuevos bots posteriores a junio de 2013 utilizaban RC4 , lo que dificultaba la infiltración en la red de bots. Además, las comunicaciones importantes provenientes de los administradores de la red de bots estaban firmadas con RSA . ^{[ 70 ]}

Existía una versión de depuración especial del malware que proporcionaba registros detallados de la red. Esta versión de depuración tenía como objetivo obtener información sobre las actividades de los investigadores de seguridad contra la botnet y desarrollar respuestas adecuadas. ^{[ 22 ]} El malware en sí también era difícil de eliminar debido a un rootkit que contenía. ^{[ 71 ]} El rootkit, Necurs , se extrajo de otro malware. ^{[ 72 ]}

El 25 de marzo de 2012, Microsoft anunció que GameOver ZeuS había sido "interrumpido en una operación interindustrial proactiva sin precedentes" con nombre en clave "Operación b71". ^{[ 73 ] [ 74 ]} La operación fue ampliamente criticada por expertos en seguridad informática por violar las normas de privacidad de datos , desactivar inadvertidamente dominios legítimos, ^{[ 75 ]} e interferir con las investigaciones criminales sobre los creadores y administradores de la botnet, ^{[ 76 ]} incluyendo una publicación de blog de Sandee que caracterizaba la operación como "irresponsable" y "un gran revés". ^{[ 77 ]} La Operación b71 finalmente no logró cerrar GameOver ZeuS debido a su arquitectura peer-to-peer. ^{[ 13 ]} Otros dos intentos de investigadores de seguridad entre 2012 y enero de 2013 para desmantelar la botnet también fracasaron. ^{[ 11 ]}

La botnet original GameOver ZeuS fue desmantelada por un esfuerzo internacional de aplicación de la ley con nombre en clave " Operación Tovar ", liderado por el FBI y en el que también participaron alrededor de 20 empresas e instituciones privadas, ^{[ 78 ] [ 16 ]} incluyendo CrowdStrike , McAfee y la Universidad Carnegie Mellon . ^{[ 79 ]} La planificación de la Operación Tovar comenzó en 2012, cuando el FBI comenzó a trabajar junto con empresas privadas de ciberseguridad para combatir a GOZ. ^{[ 80 ]} Para 2014, ^{[ 11 ]} las autoridades del Reino Unido también habían proporcionado al FBI información sobre un servidor controlado por GOZ en el Reino Unido que contenía registros de transacciones fraudulentas. La información en el servidor combinada con entrevistas con antiguos intermediarios de dinero permitió al FBI comenzar a comprender la infraestructura de la botnet de GOZ. Bogachev fue identificado como el jefe de la red GameOver ZeuS al cruzar la dirección IP utilizada para acceder a su correo electrónico (que había sido proporcionada por un informante) con la IP utilizada para administrar la botnet; ^{[ 16 ] [ 81 ]} aunque había usado una red privada virtual (VPN) para ocultar su dirección, Bogachev había usado la misma para ambas tareas. ^{[ 82 ]} El equipo de la Operación Tovar también realizó ingeniería inversa del DGA del malware, lo que les permitió anticiparse a cualquier intento de restaurar la botnet y redirigir tales intentos a servidores controlados por el gobierno. Los servidores C2 de GOZ en Canadá, Ucrania y Kazajstán fueron incautados por las autoridades, ^{[ 83 ]} siendo Ucrania el primero en hacerlo el 7 de mayo de 2014. Los funcionarios estadounidenses querían que Ucrania comenzara sus incautaciones el 29 de mayo, pero se adelantaron debido a la guerra ruso-ucraniana . ^{[ 79 ]}

Una vez finalizados los preparativos, la Operación Tovar comenzó el 30 de mayo y se completó en cuatro o cinco horas. La operación consistió en un ataque de hundimiento que cortó la comunicación entre los bots y sus servidores de comando, redirigiendo la comunicación hacia los servidores controlados por el gobierno mencionados anteriormente. ^{[ 80 ]} Dado que los dominios controlados por GOZ estaban registrados en Rusia, fuera de la jurisdicción estadounidense, las fuerzas del orden ordenaron a los proveedores de servicios de internet con sede en EE. UU. que redirigieran los intentos de contactar con los dominios controlados por GOZ hacia servidores controlados por el FBI antes de que las consultas llegaran a Rusia. ^{[ 84 ]} Los detalles técnicos de la operación permanecen en gran medida clasificados. ^{[ 83 ]} Además, las fuerzas del orden de Canadá, Francia, Alemania, Luxemburgo, los Países Bajos, Ucrania y el Reino Unido comenzaron a incautar servidores clave de GOZ el 30 de mayo. ^{[ 85 ]}

El 2 de junio, el Departamento de Justicia de los Estados Unidos anunció el resultado de la Operación Tovar. Ese mismo día también se hizo pública una acusación contra Bogachev. ^{[ 86 ]} Sin embargo, las autoridades también advirtieron que la botnet probablemente regresaría en dos semanas. ^{[ 87 ]} El 11 de julio, el Departamento de Justicia declaró que, como resultado de la operación, las infecciones de GOZ se habían reducido en un 32 por ciento y que casi todas las computadoras infectadas habían sido "liberadas del control de los criminales". ^{[ 42 ] [ 88 ]} El 24 de febrero de 2015, el Departamento de Justicia anunció una recompensa de 3 millones de dólares por información que condujera al arresto de Bogachev, ^{[ 89 ]} en ese momento la mayor recompensa jamás ofrecida por un ciberdelincuente. ^{[ 50 ] [ c ]} Bogachev sigue prófugo a partir de 2024. ^{[ 93 ]}

Cinco semanas después de la ejecución de la Operación Tovar, la empresa de seguridad Malcovery anunció que había descubierto una nueva cepa de GOZ que se transmitía a través de correos electrónicos no deseados. A pesar de compartir alrededor del noventa por ciento de su base de código con versiones anteriores de GOZ, el nuevo malware no estableció una botnet peer-to-peer, sino que optó por crear una estructura de botnet utilizando fast flux , una técnica en la que los sitios de phishing y entrega de malware se ocultan detrás de una serie de sistemas comprometidos que cambian rápidamente y actúan como proxies. ^{[ 94 ]} El origen y los motivos para crear la nueva variante, denominada "newGOZ", no estaban claros; Sandee creía que newGOZ era un "truco" para entregar el código fuente del malware y crear una distracción para que Bogachev desapareciera. ^{[ 14 ]} Sin embargo, el informe inicial de Malcovery afirmaba que el nuevo troyano representaba un intento serio de revivir la botnet. ^{[ 95 ]} Las botnets originales GameOver ZeuS y newGOZ eran entidades separadas; La lista de dominios generada por sus respectivos DGA era diferente, a pesar de que los algoritmos eran similares, y Malcovery describió la botnet GOZ original como todavía "bloqueada". ^{[ 96 ]}

El nuevo malware se dividió en dos variantes. Las variantes diferían en dos áreas: el número de dominios generados por el DGA, con una generando 1000 dominios por día y la otra generando 10 000; y la distribución geográfica de las infecciones: la primera variante infectaba principalmente sistemas en los EE. UU., y la segunda tenía como objetivo computadoras en Ucrania y Bielorrusia. ^{[ 97 ]} El 25 de julio de 2014, se estimó que 8494 máquinas habían sido infectadas por newGOZ. ^{[ 98 ]} También se han reportado otras variantes de GOZ, incluyendo "Zeus-in-the-Middle", que ataca teléfonos móviles. ^{[ 99 ]} A partir de 2017, las variantes de Zeus constituyen el 28 % de todo el malware bancario. ^{[ 100 ] Sin embargo, Sandee ha afirmado que gran parte de la cuota de} mercado de Zeus está siendo arrebatada por malware más nuevo. ^{[ 14 ]}