US$ 47 milhões em criptografia congelada na remoção global de infostealer: Europol

Uma repressão global ao malware do “crime cibernético como serviço” que drena silenciosamente carteiras criptográficas congelou dezenas de milhões de dólares em fundos roubados.

As autoridades policiais identificaram, sinalizaram e congelaram mais de 41 milhões de euros (cerca de US$ 47 milhões) em ativos criptográficos criminosos na última fase da Operação Endgame, disse a Europol na quarta-feira. O ataque de duas semanas em vários países desmantelou a infraestrutura por trás de três famílias de malware: SocGholish, Amadey e StealC.

Todos os três têm como alvo usuários de criptografia. StealC, um infostealer vendido como serviço desde 2023, coleta senhas, cookies de navegador e dados de carteiras criptografadas de máquinas infectadas. Seu painel de controle incluía até um plugin que tentava descriptografar as frases-semente das vítimas. MetaMask carteiras, descobriram pesquisadores da Proofpoint.

Amadey ganha a posição inicial e lança mais malware, enquanto o SocGholish, ligado ao grupo russo Evil Corp, infecta pessoas por meio de avisos falsos de atualização de navegador em sites hackeados. Juntos, eles formam o front-end de ataques que terminam em carteiras esgotadas, invasão de contas e ransomware.

A polícia derrubou 326 servidores e 142 domínios, recuperou quase 27 milhões de credenciais roubadas de mais de 385 mil sistemas comprometidos e limpou quase 15 mil sites infectados, muitos deles de pequenas empresas. A Microsoft, parceira na operação, vinculou Amadey e StealC a mais de 140 mil computadores infectados em todo o mundo apenas nas primeiras duas semanas de maio.

O que são infoladrões?

Infostealers se tornaram a principal rota para criptografia roubada, roubando silenciosamente carteira arquivos, chaves privadase frases-semente dos dispositivos das vítimas. Eles usam uma variedade de vetores para atingir usuários de criptografia, incluindo ferramentas falsas de IA, papéis de parede do Steam e mods de jogos piratas.

A escala de exposição é vasta. Uma ação anterior da Operação Endgame no final do ano passado descobriu dados de login de mais de 100.000 carteiras criptografadas, roubadas de vítimas, mas ainda não esvaziadas.

A Unidade de Crimes Digitais da Microsoft abriu separadamente um processo de extorsão nos EUA que, pela primeira vez, tratou duas famílias de malware como uma única conspiração criminosa. Usando ferramentas de IA, incluindo o Copilot, para analisar o malware, os investigadores descobriram que o Amadey e o StealC, embora construídos por criminosos diferentes, funcionavam em infraestrutura compartilhada, permitindo que a Microsoft cobrasse facilitadores em ambas as operações sob a Lei RICO e interrompesse mais de 200 servidores de comando e controle. Desde então, identificou mais de 18.000 computadores vítimas e começou a cortar o controle dos invasores.

Essas remoções raramente matam o malware de uma vez, e as operadoras tendem a se reagrupar, com o StealC lançando uma nova versão ainda este mês. Por enquanto, a Europol e os seus parceiros estão a encaminhar alertas de vítimas através de serviços como o Have I Been Pwned, para que os utilizadores possam verificar se as suas credenciais e as chaves das suas carteiras já estão em mãos criminosas.