Uma operação policial internacional derrubou, nesta semana, servidores por trás do Gootloader, do CastleRAT e do StealC. Criminosos usavam as três ferramentas de malware para obter acesso a computadores, roubar senhas e lançar ataques de ransomware.
A polícia também apreendeu cerca de 6,4 milhões de logins roubados, pertencentes a mais de 40 mil vítimas, segundo o Escritório Federal de Polícia Criminal da Alemanha (BKA).
Gootloader é um carregador de malware (loader): uma vez instalado no computador, ele podia baixar outros programas maliciosos, especialmente ransomware. O programa se espalhava por meio de documentos jurídicos falsos colocados em sites invadidos, muitas vezes sites em WordPress. Criminosos usavam envenenamento de SEO (manipulação dos mecanismos de busca) para levar esses sites ao topo dos resultados de pesquisa.
O Gootloader infectou pelo menos 25 mil computadores em todo o mundo desde 2018, segundo o Departamento de Justiça dos EUA. Seus operadores usavam esses computadores para infectar outros e, depois, vendiam o acesso aos novos equipamentos a criminosos de ransomware. Nos EUA, o Gootloader foi usado em ataques de ransomware contra pelo menos 44 vítimas, causando prejuízos de cerca de US$ 28,8 milhões.
A polícia alemã apresentou um número bem maior em seu comunicado em alemão. Com base no que os investigadores sabem até agora, o Gootloader infectou milhões de computadores em todo o mundo desde que surgiu, em 2020.
Somando as três ferramentas, a polícia apreendeu 235 servidores e 257 domínios, segundo um resumo da operação da Europol, que apoiou a ação. A derrubada faz parte da Operação Endgame, uma campanha policial internacional contra programas maliciosos que criminosos usam para acessar computadores de vítimas.
No caso do Gootloader, a polícia derrubou 14 servidores e 218 domínios e removeu malware de 681 sites invadidos.
Com autorização judicial, agências dos EUA e seus parceiros internacionais removeram o Gootloader de mais de 100 servidores, incluindo sites invadidos em WordPress. Eles também apreenderam domínios dos EUA usados para distribuir e controlar o malware, segundo o comunicado do Departamento de Justiça.
CastleRAT, um trojan de acesso remoto (RAT), conhecido desde 2025, permite que atacantes controlem remotamente um computador infectado. A polícia apreendeu 120 de seus servidores e 39 domínios.
StealC é um programa de roubo de informações (infostealer) que extrai senhas e outras credenciais de login de computadores infectados, permitindo que criminosos as vendam ou as utilizem indevidamente. A polícia derrubou seus servidores novamente nesta semana, após uma operação contra ele em junho.
Depois da ação de junho, seus operadores mudaram a infraestrutura e a colocaram de volta no ar para escapar do alcance dos investigadores, segundo a polícia alemã. Parte da infraestrutura essencial do StealC rodava na Virtualine/Omegatech, um serviço de hospedagem à prova de balas (bulletproof hosting) que fazia publicidade de seus serviços a criminosos.
A polícia desativou esse serviço de hospedagem em uma ação realizada no fim de outubro.
Nenhuma prisão foi anunciada na ação desta semana. A polícia holandesa também conduziu novas investigações sobre o principal suspeito do Gootloader, segundo seu comunicado à imprensa.
O que vítimas e donos de sites podem fazer
A polícia holandesa incluiu os dados roubados pelo CastleRAT no Check your hack, um serviço policial em que as pessoas podem informar um endereço de e-mail. Se o endereço estiver nos dados, a polícia envia um e-mail em poucos minutos com instruções para remover o malware. Se não estiver, nenhum e-mail chega.
Mais dados serão adicionados nas próximas semanas. O serviço verifica endereços individuais, e não domínios inteiros, mas organizações podem aderir ao No More Leaks, um projeto policial que compartilha dados com parceiros privados. Os dados roubados também estão sendo compartilhados com serviços como Have I Been Pwned e a Shadowserver Foundation.
E-mails que se apresentem como da polícia e pedem que as pessoas verifiquem os dados são falsos. A polícia nunca envia e-mails com links.
Mesmo depois de a polícia apreender os dados, criminosos ainda podem ter os logins roubados, afirma a polícia em suas perguntas frequentes. Enquanto o malware permanecer em um computador, criminosos também poderão continuar recebendo suas senhas.
A Shadowserver Foundation trabalha com provedores de internet e com equipes de resposta a incidentes de segurança informática (CSIRTs) para identificar computadores infectados e notificar seus donos, segundo o Departamento de Justiça. Na Alemanha, o Escritório Federal de Segurança da Informação (BSI) ajuda a notificar as vítimas, segundo o BKA.
A Unidade Nacional de Crimes Especiais da Dinamarca (NSK) ajudou a limpar os 681 sites. Em um comunicado em dinamarquês, a unidade afirmou acreditar que os atacantes entraram nos sites com senhas roubadas que circularam por canais criminosos. Em seguida, instalaram uma backdoor (porta dos fundos, ou seja, um acesso secreto).
Os policiais removeram o código e o acesso dos atacantes e deixaram uma mensagem para os donos dos sites com orientações sobre como proteger suas páginas.
A polícia da Dinamarca e a da Holanda recomendam que os donos de sites em WordPress tomem estas medidas, várias das quais estão descritas em uma cartilha holandesa:
- Troque todas as senhas de administrador por senhas exclusivas, com pelo menos 12 caracteres.
- Ative a autenticação multifator (MFA).
- Remova contas que você não reconhece.
- Remova do site qualquer código de backdoor.
- Atualize o WordPress, seus temas e seus plugins.
- Permita o acesso à página de login /wp-admin somente a partir dos endereços de protocolo de internet (IP) de seus próprios dispositivos.
