A Europol afirmou na quinta-feira que desativou a infraestrutura associada a várias operações de carregamento de malware, como IcedID, SystemBC, PikaBot, SmokeLoader, Bumblebee e TrickBot como parte de um esforço coordenado da aplicação da lei denominado Operação Endgame.
“As ações se concentraram em perturbar os serviços criminais através da prisão de Alvos de Alto Valor, derrubando as infraestruturas criminais e congelando os lucros ilegais”, disse a Europol em comunicado. “O malware […] facilitou ataques com ransomware e outro software malicioso”.
A ação, que ocorreu entre 27 e 29 de maio, resultou no desmantelamento de mais de 100 servidores em todo o mundo e a prisão de quatro pessoas, uma na Armênia e três na Ucrânia, após buscas em 16 locais na Armênia, Holanda, Portugal e Ucrânia.
Os servidores, de acordo com a Europol, estavam localizados na Bulgária, Canadá, Alemanha, Lituânia, Holanda, Romênia, Suíça, Ucrânia, Reino Unido e Estados Unidos. Mais de 2000 domínios foram confiscados pelas autoridades.
Um dos principais suspeitos teria arrecadado pelo menos 69 milhões de euros alugando sites de infraestrutura criminosa para implantar ransomware.
“Por meio de técnicas de ‘sinkholing’ ou uso de ferramentas para acessar os sistemas dos operadores por trás do malware, os investigadores conseguiram bloquear e derrubar os botnets”, disse a Eurojust.
Separadamente, as autoridades alemãs estão buscando a prisão de sete pessoas associadas a uma organização criminosa cujo objetivo era espalhar o malware TrickBot. Uma oitava pessoa é suspeita de ser um dos líderes do grupo por trás do SmokeLoader.
Os loaders, também conhecidos como droppers, são softwares maliciosos projetados para obter acesso inicial e entregar cargas adicionais em sistemas comprometidos, incluindo variantes de ransomware. Eles são tipicamente propagados através de campanhas de phishing, sites comprometidos ou junto com softwares populares.
“Droppers são projetados para evitar a detecção por software de segurança”, disse a Europol. “Eles podem usar métodos como obfuscar seu código, rodar na memória sem salvar no disco, ou se passar por processos de software legítimos”.
“Após implantar o malware adicional, o dropper pode permanecer inativo ou se remover para evadir a detecção, deixando a carga útil realizar as atividades maliciosas pretendidas”.
A agência descreveu as derrubadas como sendo a maior operação contra botnets de todos os tempos, envolvendo autoridades da Armênia, Bulgária, Dinamarca, França, Alemanha, Lituânia, Holanda, Portugal, Romênia, Suíça, Ucrânia, Reino Unido e Estados Unidos.
