Europol smantella i gruppi malware Rhadamanthys Stealer, Venom RAT e la botnet Elysium

Europol, insieme a Eurojust, ha messo fuori uso oltre 1.025 server utilizzati da tre famiglie di malware: Rhadamanthys infostealer, VenomRAT e le operazioni malware della botnet Elysium.

Questa missione fa parte dell'ultima fase di Operation Endgame, un'attività che si svolge tra il 10 e il 13 novembre, progettata per smantellare le infrastrutture criminali e combattere i facilitatori del ransomware in tutto il mondo.

In una dichiarazione, Europol ha dichiarato: «L'infrastruttura malware smantellata era composta da centinaia di migliaia di computer infetti contenenti diversi milioni di credenziali rubate».

L'azione congiunta, coordinata da Europol e Eurojust, è stata inoltre supportata da diversi partner privati, tra cui Cryptolaemus, Shadowserver, Spycloud, Cymru, Proofpoint, CrowdStrike, Lumen, Abuse.ch, HaveIBeenPwned, Spamhaus, DIVD e Bitdefender.

Il principale sospettato di Europol dietro Venom RAT

Secondo Europol, molte vittime non erano a conoscenza delle infezioni. Ciò ha evidenziato la natura subdola di queste minacce. Gli infostealer raccolgono silenziosamente i dati di accesso, mentre i RAT come VenomRAT consentono il controllo remoto per attività di spionaggio o distribuzione di ransomware, e le botnet come Elysium amplificano gli attacchi DDoS (Distributed Denial of Service) e le campagne di spam.

L'azione congiunta ha preso di mira l'infrastruttura ransomware, il sito AVCheck, i clienti della botnet Smokeloader e i server. Ha anche interrotto importanti operazioni malware, come DanaBot, IcedID, Pikabot, Trickbot, Smokeloader, Bumblebee e SystemBC.

Oltre a eliminare i tre principali facilitatori della cybercriminalità, le autorità hanno anche arrestato il principale sospettato dietro Venom RAT in Grecia il 3 novembre. Inoltre, sono stati messi fuori uso oltre 1.025 server e sequestrati 20 domini.

L'infostealer aveva accesso a 100,000portafogli crittografici

L'annuncio di oggi conferma l'interruzione dell'operazione Rhadamanthys infostealer, con i clienti del malware-as-a-service che dichiarano di non avere più accesso ai loro server.

Questo avviene dopo che Rhadamanthys ha promosso due strumenti sul suo sito web, chiamati Elysium Proxy Bot e Crypt Service. Il principale infostealer di informazioni era stato aggiornato per includere la capacità di raccogliere fingerprint da dispositivi e browser web, tra le altre cose.

Rhadamanthys era diventato uno dei truffatori di informazioni più famosi disponibili come malware-as-a-service (MaaS). È stato pubblicizzato per la prima volta da un threat actor di nome kingcrete2022. La versione 0.9.2 dello stealer è l'ultima versione.

Nel tempo, le capacità dello stealer sono evolute fino al punto da poter fare molto più che semplicemente rubare dati. Hanno rappresentato una seria minaccia per la sicurezza personale e aziendale. Recorded Future ha rivelato che la versione 0.7.0 del malware disponeva di un nuovo strumento di intelligenza artificiale (AI) per il riconoscimento ottico dei caratteri (OCR) che poteva catturare le seed phrase dei portafogli crittografici.

Tuttavia, non è ancora chiaro se la botnet Elysium a cui fa riferimento Europol sia lo stesso servizio di botnet proxy di RHAD security (noto anche come Mythical Origin Labs), il threat actor associato a Rhadamanthys, che è stato osservato pubblicizzare il servizio recentemente, lo scorso mese.

Europol ha anche rivelato che il principale sospettato dietro l'infostealer aveva accesso a non meno di 100.000 portafogli crittografici appartenenti alle vittime. Questo potrebbe potenzialmente ammontare a milioni di euro.

Le autorità che hanno partecipato allo sforzo includevano agenzie di applicazione della legge da Australia, Canada, Danimarca, Francia, Germania, Grecia, Lituania, Paesi Bassi e Stati Uniti. 

Allo stesso tempo, il Dipartimento di Giustizia degli Stati Uniti (DOJ), l'FBI e il Secret Service hanno creato un nuovo task force interagenzia per combattere le truffe crittografiche che prendono di mira gli americani.

Come riportato da Cryptopolitan, il nuovo task force ha dichiarato che i criminali che gestiscono le operazioni operano spesso da complessi nel Sud-est asiatico. I lavoratori nei siti sono per lo più vittime di tratta di esseri umani, tenute contro la loro volontà, abusate e sorvegliate da gruppi armati.

La procuratore degli Stati Uniti Jeanine Ferris Pirro ha dichiarato: «Le stime, a causa della sottosegnalazione, potrebbero essere fino a 15 volte superiori ai 9 miliardi di dollari, e tutto inizia con i dispositivi che tu e io teniamo e usiamo ogni giorno per fare le nostre banche, per arricchire le nostre vite, per comunicare con i nostri amici e i nostri cari».