A Agência da União Europeia para a Cooperação na Aplicação da Lei (Europol) anunciou o sucesso de uma grande operação internacional que levou ao desmantelamento da infraestrutura de três das famílias de malwares mais perigosas atualmente ativas: Gootloader, CastleRAT e StealC. A operação resultou na apreensão de 257 domínios de internet e 235 servidores que eram usados para gerenciar ataques cibernéticos e armazenar dados roubados de milhões de vítimas em todo o mundo.
Os malwares visados estão entre as ferramentas essenciais no arsenal do cibercrime; o Gootloader atua como um carregador (Loader) de programas maliciosos desde 2020, enquanto o StealC é especializado no roubo de dados confidenciais, como senhas e carteiras de criptomoedas. Já o CastleRAT é um cavalo de Troia de acesso remoto (RAT) que surgiu no ano passado e concede aos invasores controle total sobre os dispositivos infectados. Esses malwares têm sido intimamente associados às operações globais de gangues de ransomware.
Detalhes da Operação Endgame
Este golpe surge como parte da "Operação Endgame", um esforço internacional contínuo que visa as redes de "cibercrime como serviço". Agências de aplicação da lei de nove países participaram desta fase, incluindo Estados Unidos, Reino Unido, Alemanha, Holanda, Polônia, Dinamarca, Bulgária, Canadá e Moldávia, com coordenação direta da Europol e da Eurojust.
As autoridades revelaram a descoberta de 6,4 milhões de conjuntos de dados roubados dentro da infraestrutura criminosa, incluindo credenciais e senhas extraídas de sistemas infectados para serem vendidas ou usadas em ataques subsequentes. Para mitigar os danos, esses dados serão disponibilizados através de plataformas especializadas como HaveIBeenPwned, DIVD e NoMoreLeaks para alertar as vítimas e proteger suas contas comprometidas.
O que muda na prática após esse desmantelamento?
Esta operação representa uma mudança estratégica no enfrentamento do crime organizado digital, pois as autoridades não se limitam a perseguir indivíduos, mas concentram-se em destruir os "ativos técnicos" dos quais essas gangues dependem. Desativar 235 servidores significa paralisar a capacidade dos invasores de se comunicarem com os dispositivos atualmente infectados, dando às empresas e aos usuários uma janela de tempo para protegerem seus sistemas antes que os criminosos consigam reconstruir sua infraestrutura.
Este golpe não foi o primeiro dentro da "Operação Endgame"; em junho passado, cerca de 15.000 sites WordPress infectados foram limpos e servidores associados ao grupo russo "Evil Corp" foram apreendidos. Fases anteriores também visaram malwares populares como IcedID, Trickbot e Smokeloader, refletindo uma determinação internacional de secar as fontes desses ataques.
Recomendações de segurança para usuários e empresas
Com base nos dados técnicos revelados pela operação, especialistas recomendam tomar as seguintes medidas:
- Proteção de plataformas de conteúdo: Os usuários do WordPress devem atualizar imediatamente as credenciais, ativar a autenticação multifator (MFA) e corrigir vulnerabilidades de segurança em plugins e temas.
- Verificação de vazamento de dados: Recomenda-se utilizar as plataformas confiáveis mencionadas na operação para verificar se seus dados pessoais estão entre os 6,4 milhões de registros recuperados.
- Atualização de sistemas de defesa: Malwares como o StealC continuam dependendo de falhas de software conhecidas para se propagar, portanto, a atualização periódica dos sistemas continua sendo a primeira e mais importante linha de defesa.