Operação internacional derruba 235 servidores e 257 domínios usados por hackers
O Departamento de Justiça dos Estados Unidos (DOJ) divulgou novos detalhes sobre uma operação internacional que desmantelou parte da infraestrutura utilizada pelo malware Gootloader, associado a pelo menos 44 ataques de ransomware e prejuízos de US$ 28,8 milhões desde 2018.
A ação, realizada na quinta-feira (12), reuniu autoridades policiais e empresas de cibersegurança de diferentes países. Ao todo, foram interrompidos 235 servidores e 257 domínios utilizados por três famílias de malware: Gootloader, StealC e CastleRAT.
Mais de 100 servidores associados ao StealC, malware especializado no roubo de senhas, foram desativados durante a operação.
Em comunicado divulgado posteriormente, o procurador-geral adjunto A. Tysen Duva informou que o Departamento de Justiça removeu o Gootloader de mais de 100 servidores, incluindo sites comprometidos, e apreendeu diversos domínios utilizados pelos criminosos para distribuir e controlar o malware.
Gootloader infectou 25 mil dispositivos e facilitou ataques de ransomware
Segundo o Departamento de Justiça, o Gootloader está em atividade desde 2018 e foi utilizado para infectar aproximadamente 25 mil dispositivos em diferentes países.
Documentos judiciais divulgados nesta semana explicam que as vítimas geralmente instalavam o malware de maneira acidental. Após a infecção, os computadores comprometidos passavam a integrar uma botnet, uma rede de dispositivos infectados controlada pelos criminosos.
Os operadores do Gootloader utilizavam essa infraestrutura para comercializar o acesso aos sistemas comprometidos, permitindo que outros grupos hackers realizassem ataques posteriores, incluindo a implantação de ransomware.
Brett Leatherman, diretor de operações da divisão cibernética do FBI, afirmou que os criminosos exploravam uma rede de sites comprometidos para infectar milhares de computadores e obter o acesso inicial necessário para ataques de ransomware.
De acordo com o DOJ, mais de 44 vítimas de ransomware nos Estados Unidos foram inicialmente comprometidas pelo Gootloader, resultando em perdas financeiras acumuladas de US$ 28,8 milhões.
Infraestrutura também foi utilizada em ataques contra o setor de defesa
As autoridades americanas informaram que as operações envolvendo o Gootloader atingiram organizações de diferentes setores e países, incluindo estruturas relacionadas à defesa nacional.
Kenneth DeChellis, representante do Departamento de Defesa dos Estados Unidos, declarou que o malware foi utilizado em ataques de alcance global, incluindo operações direcionadas ao Departamento de Guerra americano e à Base Industrial de Defesa, formada por empresas e fornecedores responsáveis por apoiar as atividades militares do país.
Segundo o FBI, a desarticulação da infraestrutura foi possível por meio de operações técnicas coordenadas, notificações às vítimas e procedimentos de remediação dos sistemas comprometidos.
A Shadowserver Foundation participou da iniciativa trabalhando com provedores de internet e equipes de resposta a incidentes de segurança (CSIRTs) em diferentes países para identificar dispositivos infectados e notificar seus responsáveis.
Os domínios comprometidos e apreendidos durante a operação passaram a exibir avisos oficiais informando sobre a intervenção das autoridades.
Operação Endgame amplia ações contra botnets e malwares
O desmantelamento da infraestrutura do Gootloader integra a Operation Endgame, uma iniciativa internacional de aplicação da lei voltada à interrupção de grandes redes criminosas utilizadas para distribuir malware e realizar ataques cibernéticos.
Em etapas anteriores, a operação atingiu servidores, sites e botnets associados a diferentes famílias de malware, incluindo DanaBot, IcedID, SystemBC, Pikabot, SmokeLoader, Bumblebee e Trickbot.
A iniciativa também resultou na desativação de estruturas relacionadas ao Rhadamanthys, malware especializado no roubo de informações, ao trojan de acesso remoto VenomRAT e à botnet Elysium.
Além dessas ações, o Departamento de Justiça destacou uma operação realizada no ano passado contra quatro serviços utilizados por criminosos para testar a capacidade de seus malwares de escapar da detecção por ferramentas antivírus.
Os serviços AVCheck.net, Crypt.guru, Cryptor.live e Cryptor.biz foram retirados do ar em uma ação conjunta entre autoridades americanas e parceiros internacionais.
Com a interrupção da infraestrutura do Gootloader, as autoridades buscam reduzir a capacidade dos criminosos de distribuir malware, comercializar acessos a dispositivos comprometidos e facilitar novas campanhas de ransomware.
