Uma repressão global contra o malware de "cibercrime como serviço" que discretamente drena carteiras de criptomoedas congelou dezenas de milhões de dólares em fundos roubados.
As autoridades identificaram, sinalizaram e congelaram mais de 41 milhões de euros (cerca de 47 milhões de dólares) em criptoativos criminosos na mais recente fase da Operação Endgame, disse a Europol na quarta-feira. A operação de duas semanas, que abrangeu vários países, desmantelou a infraestrutura por trás de três famílias de malware: SocGholish, Amadey e StealC.
Os três visam utilizadores de cripto. O StealC, um infostealer vendido como serviço desde 2023, recolhe senhas, cookies de navegador e dados de carteiras de criptomoedas de máquinas infetadas. O seu painel de controlo incluía até um plugin que tentava decifrar as frases sementes das carteiras MetaMask das vítimas, descobriram investigadores da Proofpoint.
O Amadey obtém o ponto de apoio inicial e instala mais malware, enquanto o SocGholish, ligado ao grupo russo Evil Corp, infeta pessoas através de avisos falsos de atualização de navegador em sites invadidos. Juntos, eles formam a linha da frente de ataques que resultam em carteiras esvaziadas, tomadas de conta e ransomware.
A polícia derrubou 326 servidores e 142 domínios, recuperou quase 27 milhões de credenciais roubadas de mais de 385.000 sistemas comprometidos e limpou cerca de 15.000 sites infetados, muitos deles pequenas empresas. A Microsoft, parceira na operação, ligou o Amadey e o StealC a mais de 140.000 computadores infetados em todo o mundo apenas nas primeiras duas semanas de maio.
Os infostealers tornaram-se uma rota principal para criptoativos roubados, subtraindo discretamente ficheiros de carteira, chaves privadas e frases sementes dos dispositivos das vítimas. Eles usam uma variedade de vetores para atingir utilizadores de cripto, incluindo ferramentas de IA falsas, wallpapers do Steam e mods de jogos piratas.
A escala da exposição é vasta. Uma ação anterior da Operação Endgame, no final do ano passado, revelou dados de login para mais de 100.000 carteiras de criptomoedas, roubados de vítimas, mas ainda não esvaziados.
A Unidade de Crimes Digitais da Microsoft apresentou separadamente uma ação judicial por crime organizado nos EUA que, pela primeira vez, tratou duas famílias de malware como uma única conspiração criminosa. Usando ferramentas de IA, incluindo o Copilot, para analisar o malware, os investigadores descobriram que Amadey e StealC, embora construídos por criminosos diferentes, operavam numa infraestrutura partilhada, permitindo à Microsoft acusar facilitadores em ambas as operações sob a Lei RICO e desmantelar mais de 200 servidores de comando e controlo. Desde então, identificou mais de 18.000 computadores de vítimas e começou a cortar o controlo dos atacantes.
.@Microsoft Digital Crimes Unit has taken down five operations in nine months that were enabling Cybercrime as a Service (CaaS).
Cybercrime runs on coordination. Disrupting it takes the same approach, working with partners to break up the systems that make these attacks… pic.twitter.com/b7ZVqdCatY
— Microsoft On the Issues (@MSFTIssues) June 24, 2026
Tais desativações raramente eliminam o malware por completo, e os operadores tendem a reagrupar-se, com o StealC a lançar uma nova versão ainda este mês. Por enquanto, a Europol e os seus parceiros estão a encaminhar alertas de vítimas através de serviços como o Have I Been Pwned, para que os utilizadores possam verificar se as suas credenciais, e as chaves das suas carteiras, já estão em mãos criminosas.
