Em uma operação internacional de grande escala conhecida como "Operation Endgame", agências de aplicação da lei nos Estados Unidos, Europa, Austrália e Canadá conseguiram confiscar a infraestrutura de três das famílias de malware mais perigosas: Gootloader, CastleRAT e StealC. A operação resultou na apreensão de 235 servidores e 257 domínios, além da recuperação de 6,4 milhões de conjuntos de credenciais de vítimas.
Estes malwares baseiam-se no modelo de "Cibercrime como Serviço" (Cybercrime-as-a-Service), sendo utilizados para facilitar ataques de ransomware e roubo de dados em larga escala através de redes de distribuição complexas.
Detalhes dos malwares visados
- Gootloader: Este malware opera desde 2018 como um carregador (Dropper) para outros softwares maliciosos, incluindo programas de ransomware. Utiliza sites comprometidos que contêm documentos jurídicos falsos para disseminar suas infecções. De acordo com o Departamento de Justiça dos EUA, este malware infectou mais de 25 mil dispositivos, causando prejuízos de cerca de 28,8 milhões de dólares aos Estados Unidos. A operação recente levou à remoção do malware de 100 servidores, e a Europol confiscou 14 servidores e 218 domínios associados, além de limpar 681 sites infectados.
- CastleRAT: Este trojan de acesso remoto (RAT), ativo pelo menos desde 2025, concede aos atacantes controle total sobre os dispositivos infectados para utilizá-los na criptografia de arquivos e na exigência de resgates. As incursões resultaram na apreensão de 120 servidores e 39 domínios, e na recuperação de dados que incluem 180 mil endereços de e-mail e 893 mil senhas únicas.
- StealC: Este malware atua como uma ferramenta de roubo de dados (Stealer) e carregador (Dropper), focando principalmente no roubo de senhas e identidade. Foram desativados 102 servidores pertencentes a este malware durante a campanha.
O que muda na prática?
A importância desta operação reside no golpe desferido contra as "cadeias de suprimentos" criminosas; em vez de apenas parar um único malware, as autoridades visaram a infraestrutura que permite aos criminosos vender dados e utilizá-los em ataques subsequentes. Além disso, o compartilhamento de 6,4 milhões de credenciais roubadas com organizações de segurança como HaveIBeenPwned e The Shadowserver Foundation reforça a capacidade da comunidade técnica de proteger os usuários e alertá-los antes que seus dados roubados sejam explorados em novos ataques de ransomware.