Uma coalizão internacional liderada pela Microsoft, agências de aplicação da lei e diversas empresas de segurança cibernética desmantelou uma massiva rede de servidores e domínios compartilhada por duas das famílias de malware mais ativas do cenário de e-crime: o Amadey e o StealC. A ação coordenada fez parte da duradoura Operação Endgame e resultou na neutralização de centenas de servidores de Comando e Controle (C&C) utilizados por cibercriminosos globalmente.
A simbiose técnica entre o Loader e o Infostealer
O sucesso operacional do desmantelamento baseou-se na descoberta de que ambas as ameaças, embora com funções distintas, dependiam dos mesmos clusters de infraestrutura. O Amadey, ativo desde 2018, opera sob o modelo de Malware como Serviço (MaaS) atuando como um loader, uma ferramenta projetada para garantir o acesso inicial a sistemas invadidos e realizar o download de payloads secundários perigosos. Já o StealC, surgido em 2023, é um infostealer altamente focado na exfiltração rápida de credenciais de login, cookies de sessão, carteiras de criptomoedas e dados confidenciais armazenados em navegadores.
Na dinâmica do ecossistema cibercriminoso, os dois softwares operavam frequentemente de forma combinada. Operadores utilizavam o Amadey para infectar e estabelecer persistência em uma máquina e, em seguida, injetavam o StealC para roubar todas as informações corporativas ou pessoais disponíveis. Análises apoiadas em inteligência artificial revelaram padrões idênticos de tráfego e hospedagem entre os dois painéis de controle, permitindo mapear o ecossistema oculto das quadrilhas de forma unificada.
Hackeando os atacantes: Web Shell e apreensões milionárias
Durante a fase de inteligência da operação, investigadores identificaram uma vulnerabilidade lógica severa no próprio painel de gerenciamento do StealC. A falha de código permitia o upload de um web shell diretamente para o servidor C&C dos criminosos. A coalizão utilizou essa brecha legalmente para invadir o perímetro dos atacantes e coletar inteligência tática, descobrindo inclusive que afiliados do próprio StealC abusavam silenciosamente do mesmo bug para roubar dados exfiltrados por outros grupos concorrentes.
Os resultados quantitativos da operação demonstram a escala das atividades das botnets. As autoridades apreenderam e recuperaram mais de 25 milhões de credenciais únicas que haviam sido roubadas de pelo menos 385 mil sistemas ao redor do mundo. Adicionalmente, 18 mil computadores severamente infectados foram identificados e isolados preventivamente. A Europol informou que ativos de criptomoedas avaliados em mais de US$ 47 milhões associados às operações ilícitas foram rastreados e bloqueados para impedir sua lavagem por parte das lideranças do grupo.
