Una operación internacional de aplicación de la ley con nombre en código Operación Endgame se ha apoderado de más de 100 servidores en todo el mundo utilizados por múltiples operaciones importantes de carga de malware, incluidas IcedID, Pikabot, Trickbot, Bumblebee, Smokeloader y SystemBC.
Arrestos y búsquedas
La acción tuvo lugar entre el 27 y el 29 de mayo de 2024 e implicó 16 búsquedas de ubicación en toda Europa. Como resultado, se arrestaron a cuatro personas: una en Armenia y tres en Ucrania. Además, la policía identificó a ocho fugitivos vinculados a las operaciones de malware, que se añadieron a la lista de los «más buscados» de Europol.
Infraestructura incautada
La infraestructura incautada se extendió por Europa y América del Norte. Se encontraron más de 2.000 dominios bajo el control de las autoridades, que facilitaban servicios ilícitos. En la operación participaron fuerzas policiales de Alemania, Estados Unidos, Reino Unido, Francia, Dinamarca y Países Bajos.
Apoyo de inteligencia
La operación contó con el respaldo de inteligencia proporcionada por expertos de Bitdefender, Cryptolaemus, Sekoia, Shadowserver, Team Cymru, Prodaft, Proofpoint, NFIR, Computest, Northwave, Fox-IT, HaveIBeenPwned, Spamhaus y DIVD.
Droppers de malware
Los droppers de malware son herramientas especializadas diseñadas para establecer un acceso inicial a los dispositivos. Los ciberdelincuentes detrás de ellos generalmente envían correos electrónicos maliciosos para entregar el malware u ocultan cargas útiles en instaladores troyanizados promocionados a través de publicidad maliciosa o torrents.
Impacto financiero
Europol informó que uno de los principales sospechosos involucrados en una de las operaciones de malware dirigidas ganó más de 69 millones de euros (74,5 millones de dólares) alquilando su infraestructura para la implementación de ransomware.
«Las investigaciones hasta ahora han descubierto que uno de los principales sospechosos ha ganado al menos 69 millones de euros en criptomonedas alquilando sitios de infraestructura criminal para implementar ransomware», se lee en el anuncio de Europol.
«Las transacciones del sospechoso están siendo monitoreadas constantemente y ya se ha obtenido el permiso legal para confiscar estos activos en acciones futuras».