Operação europeia desmantela redes de roubo de dados e distribuição de ransomware

Uma operação internacional coordenada pelas autoridades policiais europeias e norte-americanas permitiu desmantelar infraestruturas de três redes de software malicioso utilizadas para roubar dados, obter credenciais e preparar ciberataques, incluindo ataques de ransomware.

A intervenção, anunciada pela polícia neerlandesa esta semana, incidiu sobre o Gootloader, o CastleRAT e o StealC, no âmbito da Operation Endgame, uma iniciativa internacional de combate às infraestruturas utilizadas por cibercriminosos.

Segundo as autoridades, foram recuperados mais de 6,4 milhões de elementos de dados pessoais roubados. A informação inclui credenciais que podem ser utilizadas para aceder a contas bancárias e sistemas informáticos. A polícia esclarece, contudo, que o número não corresponde a pessoas diferentes nem permite determinar quantos clientes bancários foram afetados.

Parte dos dados recuperados será disponibilizada através de serviços de notificação de incidentes, permitindo que os titulares possam verificar se a sua informação foi comprometida.

O Gootloader funcionava como uma porta de entrada para a instalação de outros programas maliciosos. De acordo com a publicação especializada Help Net Security, os operadores recorriam a documentos falsos alojados em páginas comprometidas, frequentemente construídas em WordPress, para levar os visitantes a descarregar ficheiros infetados.

A operação permitiu retirar servidores e domínios utilizados pela rede e limpar 681 páginas comprometidas.

As outras duas ferramentas desempenhavam funções complementares. O CastleRAT permitia controlar computadores à distância, enquanto o StealC era utilizado para recolher palavras-passe, credenciais armazenadas e identidades digitais.

As autoridades consideram que estas ferramentas podem constituir os primeiros elos de ataques mais abrangentes, ao permitir aos criminosos obter acesso a redes empresariais, comprometer sistemas e, posteriormente, subtrair informação ou dinheiro.

O StealC já tinha sido alvo de uma intervenção policial em junho. No entanto, segundo a publicação alemã Golem, os responsáveis adaptaram a infraestrutura e conseguiram continuar a operar. As diligências agora realizadas atingiram os meios que tinham sido entretanto utilizados.

Este antecedente evidencia que a desativação de servidores e domínios não significa necessariamente a eliminação definitiva de uma ameaça, uma vez que os operadores podem reconstruir a infraestrutura e retomar a atividade.

A investigação contou com a participação de autoridades europeias e norte-americanas, com o apoio da Europol, da Eurojust e de empresas especializadas em cibersegurança.

A operação não identifica bancos portugueses entre as entidades afetadas, nem apresenta uma estimativa das perdas financeiras evitadas. Os resultados divulgados confirmam a interrupção de infraestruturas criminosas e a recuperação de dados roubados, mas não permitem concluir que a ameaça tenha sido eliminada de forma duradoura.