Europol démantèle les groupes de logiciels malveillants Rhadamanthys Stealer, Venom RAT et Elysium botnet

Europol, aux côtés d'Eurojust, a fait tomber plus de 1 025 serveurs utilisés par trois familles de logiciels malveillants : l'infostealer Rhadamanthys, VenomRAT et les opérations de botnet Elysium.

Cette mission s'inscrit dans la dernière phase de l'opération Endgame, une activité se déroulant du 10 au 13 novembre, conçue pour démanteler les infrastructures criminelles et combattre les facilitateurs de rançongiciels dans le monde entier.

Dans un communiqué, Europol a déclaré : « L'infrastructure de logiciels malveillants démantelée comprenait des centaines de milliers d'ordinateurs infectés contenant plusieurs millions d'identifiants volés. »

L'action conjointe, coordonnée par Europol et Eurojust, a également été soutenue par plusieurs partenaires privés, dont Cryptolaemus, Shadowserver, Spycloud, Cymru, Proofpoint, CrowdStrike, Lumen, Abuse.ch, HaveIBeenPwned, Spamhaus, DIVD et Bitdefender.

Le principal suspect d'Europol derrière Venom RAT

Selon Europol, de nombreuses victimes ignoraient avoir été infectées. Cela a mis en lumière la nature insidieuse de ces menaces. Les infostealers récoltent discrètement les identifiants de connexion, tandis que les RAT comme VenomRAT permettent un contrôle à distance pour l'espionnage ou le déploiement de rançongiciels, et les botnets comme Elysium amplifient les attaques par déni de service distribué (DDoS) et les campagnes de spam.

L'action conjointe visait les infrastructures de rançongiciels, le site AVCheck, les clients du botnet Smokeloader et les serveurs. Elle a également perturbé de grandes opérations de logiciels malveillants, telles que DanaBot, IcedID, Pikabot, Trickbot, Smokeloader, Bumblebee et SystemBC.

Outre l'élimination des trois principaux facilitateurs de cybercriminalité, les autorités ont également arrêté le principal suspect derrière Venom RAT en Grèce le 3 novembre. De plus, plus de 1 025 serveurs ont été mis hors ligne et 20 domaines ont été saisis.

L'infostealer avait accès à 100,000 portefeuilles crypto

L'annonce d'aujourd'hui confirme la perturbation de l'opération Rhadamanthys infostealer, les clients du malware-as-a-service indiquant qu'ils n'ont plus accès à leurs serveurs.

Cela fait suite à la promotion par Rhadamanthys de deux outils sur son site web, appelés Elysium Proxy Bot et Crypt Service. Le principal infostealer a été mis à jour pour inclure la capacité de collecter des empreintes numériques des appareils et des navigateurs web, entre autres.

Rhadamanthys est devenu l'un des escrocs informationnels les plus célèbres disponibles en tant que malware-as-a-service (MaaS). Il a été initialement annoncé par un acteur de la menace nommé kingcrete2022. La version 0.9.2 du stealer est la dernière version.

Avec le temps, les compétences du stealer ont évolué au point de pouvoir accomplir beaucoup plus que simplement voler des données. Ils constituaient une menace sérieuse pour la sécurité personnelle et professionnelle. Recorded Future a révélé que la version 0.7.0 du malware disposait d'un nouvel outil d'intelligence artificielle (IA) pour la reconnaissance optique de caractères (OCR) qui pouvait capturer les phrases semences des portefeuilles crypto.

Cependant, il reste incertain si le botnet Elysium auquel fait référence Europol est le même service de botnet proxy que RHAD security (également connu sous le nom de Mythical Origin Labs), l'acteur de la menace associé à Rhadamanthys, qui a été observé en train de faire de la publicité aussi récemment que le mois dernier.

Europol a également révélé que le principal suspect derrière l'infostealer avait accès à pas moins de 100 000 portefeuilles crypto appartenant à des victimes. Cela pourrait potentiellement s'élever à des millions d'euros.

Les autorités ayant participé à cet effort comprenaient des agences de police d'Australie, du Canada, du Danemark, de France, d'Allemagne, de Grèce, de Lituanie, des Pays-Bas et des États-Unis. 

Dans le même temps, le Département de la Justice des États-Unis (DOJ), le FBI et le Service Secret ont créé un nouveau groupe de travail interagences pour lutter contre les arnaques crypto ciblant les Américains.

Comme rapporté par Cryptopolitan, le nouveau groupe de travail a déclaré que les criminels dirigeant ces opérations opèrent souvent depuis des complexes en Asie du Sud-Est. Les travailleurs sur les sites sont principalement des victimes de traite des êtres humains, détenues contre leur gré, maltraitées et gardées par des groupes armés.

La procureure américaine Jeanine Ferris Pirro a déclaré : « Les estimations, en raison de la sous-déclaration, pourraient être jusqu'à 15 fois supérieures à 9 milliards de dollars, et cela commence avec les appareils que vous et moi tenons et utilisons chaque jour pour faire nos banques, enrichir nos vies et communiquer avec nos amis et nos proches. »