FBI e Departamento de Justiça desmantelam malware Qakbot

Imagens Getty

Uma operação internacional de aplicação da lei liderada pelo FBI e pelo Departamento de Justiça dos EUA resultou numa grande perturbação para o botnet Qakbot.

Qakbot é um Trojan bancário descoberto pela primeira vez no final dos anos 2000 e que tem sido um elemento prolífico do crime cibernético ao longo dos anos, especialmente entre gangues de ransomware. O Departamento de Justiça anunciou a remoção na terça-feira num comunicado de imprensa, dizendo que se tratava de “uma operação multinacional envolvendo ações nos Estados Unidos, França, Alemanha, Holanda, Reino Unido, Roménia e Letónia”.

O FBI conseguiu, por ordem judicial, obter acesso à infraestrutura da botnet e obter dados valiosos, incluindo chaves de criptografia para sistemas de comando e controle. As autoridades também identificaram mais de 700 mil computadores infectados em todo o mundo, incluindo mais de 200 mil nos EUA, e redirecionaram o tráfego do Qakbot para servidores controlados por agências.

Esses servidores, de acordo com uma notícia do FBI, “instruíam os computadores infectados a baixar um arquivo de desinstalação”. O desinstalador era um arquivo DLL que removeu o malware Qakbot dos sistemas das vítimas, desvinculando-as da botnet e impedindo a instalação de novos malwares.

“O FBI neutralizou esta cadeia de fornecimento criminosa de longo alcance, cortando-a pela raiz. As vítimas variavam de instituições financeiras na Costa Leste a um empreiteiro governamental de infraestrutura crítica no Centro-Oeste, a um fabricante de dispositivos médicos na Costa Oeste”, disse o FBI. O diretor Christopher Wray disse em um anúncio em vídeo da remoção.

A operação, batizada de “Duck Hunt”, também levou à apreensão de US$ 8,6 milhões em fundos extorquidos. O Departamento de Justiça disse que os investigadores encontraram evidências de que os administradores do Qakbot receberam cerca de US$ 58 milhões em pagamentos de resgate entre outubro de 2021 e abril de 2023.

“Os cibercriminosos que dependem de malware como o Qakbot para roubar dados privados de vítimas inocentes foram hoje lembrados de que não operam fora dos limites da lei”, disse o procurador-geral Merrick Garland no comunicado de imprensa do Departamento de Justiça.

O fornecedor de segurança cibernética Secureworks publicou uma análise técnica da remoção do Qakbot na qual se referiu ao arquivo DLL personalizado do FBI como “inteligente”. Em uma declaração compartilhada com o TechTarget Editorial, Don Smith, vice-presidente da Unidade de Contra-Ameaças da Secureworks, disse que Qakbot “era um adversário significativo” para empresas em todo o mundo.

“Projetadas para eCrime, as infecções por Qakbot levaram à implantação de alguns dos ransomware mais sofisticados e prejudiciais. O Qakbot evoluiu ao longo dos anos para se tornar uma parte flexível do arsenal do criminoso”, disse Smith. "Sua remoção é bem-vinda."

A TechTarget Editorial contatou o FBI para comentários adicionais.

Alexander Culafi é redator, jornalista e podcaster de notícias sobre segurança da informação e mora em Boston.