Ação internacional atingiu 235 servidores e 257 domínios e recuperou cerca de 6,4 milhões de credenciais de acesso
A Operação Endgame desarticulou a infraestrutura usada por três famílias de malware que facilitavam invasões, roubo de dados e ataques de ransomware. Anunciada pela Europol em 12 de novembro, a ação contra Gootloader, CastleRAT e StealC atingiu 235 servidores e 257 domínios. A polícia criminal federal alemã informou que os investigadores recuperaram cerca de 6,4 milhões de credenciais de acesso associadas a mais de 40 mil vítimas.
A mobilização ocorreu entre 9 e 11 de novembro, com a participação de autoridades de nove países, o apoio da Europol e da Eurojust e a colaboração de empresas de segurança digital. Segundo a polícia dos Países Baixos, a ação contra o Gootloader também permitiu limpar 681 sites comprometidos que eram usados para distribuir o malware.
O que a Operação Endgame interrompeu
O Gootloader abria caminho para a instalação de outros programas maliciosos. Seus operadores comprometiam sites legítimos e manipulavam resultados de busca para atrair pessoas que procuravam documentos, como modelos jurídicos. Ao executar o arquivo baixado, a vítima podia iniciar uma infecção que abria caminho para um ataque de ransomware.
O CastleRAT permitia controlar remotamente computadores infectados. Já o StealC coletava informações como senhas, cookies de sessão e dados de carteiras de criptoativos. Ao atingir a infraestrutura dessas ferramentas, a operação interferiu em diferentes etapas dos ataques, do acesso inicial ao controle dos computadores e à coleta de dados.
Dados recuperados ajudam a avisar as vítimas
A apreensão das credenciais abriu uma segunda frente de trabalho: identificar contas expostas e avisar seus titulares. A polícia dos Países Baixos informou que os dados recuperados do CastleRAT já podem ser consultados no serviço oficial Check Your Hack e que novos registros serão acrescentados nas próximas semanas. A consulta é feita pelo endereço de e-mail. Em caso de correspondência, a polícia envia uma mensagem ao titular. Os dados também foram compartilhados com serviços de alerta como o Have I Been Pwned.
Investigação continuada levou à nova infraestrutura do StealC
O StealC já havia sido alvo da Operação Endgame em junho de 2026. Depois daquela ação, os operadores reorganizaram a infraestrutura e retomaram a atividade. A polícia alemã informou que o acompanhamento do caso permitiu localizar os novos recursos usados pelo grupo. Parte dessa estrutura estava em um serviço de hospedagem retirado do ar no fim de outubro em uma ação conjunta de equipes alemãs e neerlandesas.
A nova intervenção mostra o alcance da cooperação ao longo de uma investigação. O monitoramento após a primeira derrubada permitiu localizar a infraestrutura reconstruída. A apreensão de dados na etapa de novembro também deu às autoridades meios para avisar pessoas e empresas cujas contas foram expostas.
Fontes oficiais: Europol · Polícia criminal federal alemã e Procuradoria de Frankfurt · Polícia dos Países Baixos
Boato do apagão de 17 de novembro: estaríamos preparados para uma falha real?
Golpe do Pix usou quase 900 domínios para cobrar taxas falsas, diz Lumu
Ataque cibernético põe à prova a contingência do Porto de Santos
Falha global no Microsoft 365 não tem indícios de ciberataque
Conheça a coluna Cibersegurança.
Conselheiro de administração ou CISO? Leia também: Orçamento 2027: guia da NACD ensina CISOs a falar a língua do conselho.
