Europol desmantela los grupos de malware Rhadamanthys Stealer, Venom RAT y Elysium botnet

Europol, junto con Eurojust, ha derribado más de 1.025 servidores utilizados por tres familias de malware: el infostealector Rhadamanthys, VenomRAT y las operaciones de malware de la botnet Elysium.

Esta misión es parte de la última fase de la Operación Endgame, una actividad que tiene lugar entre el 10 y el 13 de noviembre, diseñada para desmantelar infraestructuras criminales y combatir facilitadores de ransomware en todo el mundo.

En un comunicado, Europol declaró: «La infraestructura de malware desmantelada consistía en cientos de miles de computadoras infectadas que contenían varios millones de credenciales robadas.»

La acción conjunta, coordinada por Europol y Eurojust, también contó con el apoyo de varios socios privados, incluidos Cryptolaemus, Shadowserver, Spycloud, Cymru, Proofpoint, CrowdStrike, Lumen, Abuse.ch, HaveIBeenPwned, Spamhaus, DIVD y Bitdefender.

El principal sospechoso de Europol detrás de Venom RAT

Según Europol, muchas víctimas no eran conscientes de las infecciones. Esto ha destacado la naturaleza sigilosa de estas amenazas. Los infostealectores recopilan silenciosamente los detalles de inicio de sesión, mientras que los RAT como VenomRAT permiten el control remoto para espionaje o despliegue de ransomware, y las botnets como Elysium amplifican los ataques de denegación de servicio distribuida (DDoS) y las campañas de spam.

La acción conjunta se centró en la infraestructura de ransomware, el sitio AVCheck, los clientes de la botnet Smokeloader y los servidores. También interrumpió operaciones importantes de malware, como DanaBot, IcedID, Pikabot, Trickbot, Smokeloader, Bumblebee y SystemBC.

Además de eliminar los tres principales facilitadores del cibercrimen, las autoridades también arrestaron al principal sospechoso detrás de Venom RAT en Grecia el 3 de noviembre. Además, se han derribado más de 1.025 servidores y se han incautado 20 dominios.

El infostealector tenía acceso a 100,000 carteras de criptomonedas

El anuncio de hoy confirma la interrupción de la operación del infostealector Rhadamanthys, con los clientes del malware-como-servicio indicando que ya no tienen acceso a sus servidores.

Esto ocurre después de que Rhadamanthys promocionara dos herramientas en su sitio web, llamadas Elysium Proxy Bot y Crypt Service. El principal infostealector se había actualizado para incluir la capacidad de recopilar huellas digitales de dispositivos y navegadores web, entre otras cosas.

Rhadamanthys se había convertido en uno de los estafadores de información más famosos disponibles como malware-como-servicio (MaaS). Fue anunciado por primera vez por un actor de amenazas llamado kingcrete2022. La versión 0.9.2 del stealer es la última versión.

Con el tiempo, las habilidades del stealer han evolucionado hasta el punto de que pueden lograr mucho más que simplemente robar datos. Representaban una seria amenaza tanto para la seguridad personal como empresarial. Recorded Future reveló que la versión 0.7.0 del malware tenía una nueva herramienta de inteligencia artificial (IA) para reconocimiento óptico de caracteres (OCR) que podía capturar frases semilla de carteras de criptomonedas.

Sin embargo, aún no está claro si la botnet Elysium a la que se refiere Europol es el mismo servicio de botnet proxy que RHAD security (también conocido como Mythical Origin Labs), el actor de amenazas asociado con Rhadamanthys, que fue observado anunciando tan recientemente como el mes pasado.

Europol también reveló que el principal sospechoso detrás del infostealector tenía acceso a no menos de 100.000 carteras de criptomonedas pertenecientes a víctimas. Eso podría potencialmente ascender a millones de euros.

Las autoridades que participaron en el esfuerzo incluyeron agencias de aplicación de la ley de Australia, Canadá, Dinamarca, Francia, Alemania, Grecia, Lituania, los Países Bajos y EE. UU. 

Al mismo tiempo, el Departamento de Justicia de EE. UU. (DOJ), el FBI y el Servicio Secreto crearon una nueva fuerza de tarea interagencial para combatir las estafas de criptomonedas que apuntan a los estadounidenses.

Como informó Cryptopolitan, la nueva fuerza de tarea declaró que los criminales que dirigen las operaciones a menudo operan desde complejos en el sudeste asiático. Los trabajadores de los sitios son principalmente víctimas de trata de personas, retenidos contra su voluntad, abusados y vigilados por grupos armados.

La Fiscal de EE. UU. Jeanine Ferris Pirro dijo: «Las estimaciones, debido a la infradenunciación, podrían ser hasta 15 veces más que 9.000 millones de dólares, y comienza con los dispositivos que usted y yo sostenemos y usamos todos los días para hacer nuestros bancos, para enriquecer nuestras vidas, para comunicarnos con nuestros amigos y seres queridos.»