A Microsoft está adotando uma nova abordagem para combater o crime cibernético, visando a cadeia de fornecimento de ataques cibernéticos e não apenas serviços individuais. Num caso hoje não selado, estamos a visar simultaneamente duas ferramentas de cibercriminalidade amplamente utilizadas, Amadey e StealCdepois que a análise assistida por IA revelou que eles dependem da mesma infraestrutura.
Esta ação vai atrás da “linha de montagem” do crime cibernético, onde ferramentas coordenadas geram ransomware, fraude financeira e interrupções nos serviços públicos. Amadey e StealC são frequentemente usados lado a lado: Amadey ajuda os invasores a obter acesso aos dispositivos, enquanto o StealC rouba senhas e informações confidenciais. Juntos, eles formam um elo crítico na cadeia. Somente nas primeiras duas semanas de maio, o Amadey e o StealC foram associados a mais de 140 mil computadores infectados em todo o mundo, destacando o quão amplamente são usados.
Trabalhando com Europol e parceiros industriaisdirecionamos as duas ferramentas ao mesmo tempo. O objetivo: quebrar a corrente. Desde o início da operação, a Microsoft identificou mais de 18.000 computadores vítimas, cortou o controlo criminoso desses dispositivos e está a trabalhar com fornecedores de telecomunicações para ajudar a proteger os clientes afetados a nível international.
Quando várias partes de uma operação são interrompidas juntas, é mais difícil lançar, escalar e recuperar ataques. O resultado: menos serviços interrompidos, menos oportunidades de lucro para os cibercriminosos e mais atrito quando tentam reconstruir.
Isso é não é mais suficiente para ir atrás ameaças uma por uma. Nós necessidade de interromper a forma como os ataques são organizados.
O que há de diferente nesta ação
A Microsoft tem há muito tempo utiliza ações legais civis para interromper a infraestrutura do crime cibernético e foi pioneira no uso inovador de leis existentes, incluindo a Lei de Organizações Corruptas e Influenciadas por Racketeers (RICO), uma lei dos EUA projetada para combater o crime organizado.
A novidade é como estamos combinando a análise de IA com um uso ampliado dessa lei.
Amadey e StealC foram desenvolvidos por cibercriminosos separados, mas dependiam da mesma infraestrutura. Para entender como funcionavam, os investigadores usaram IA, incluindo o Copilot, para analisar rapidamente o malware, fazendo perguntas em inglês simples, em vez de vasculhar manualmente códigos complexos. Isso ajudou a revelar detalhes importantes, descobrir dados ocultos e testar descobertas em uma fração do tempo, transformando o que levaria horas ou dias em minutos e permitindo que a equipe identificasse conexões com mais rapidez.
Esses insights permitiram que a equipe jurídica tratasse ambas as famílias de malware como parte de uma única conspiração. Em vez de ir atrás de cada ferramenta separadamente, como fizemos no passado, usamos o RICO para cobrar vários facilitadores cúmplices envolvidos em toda a operação. No complete, a Unidade de Crimes Digitais da Microsoft interrompeu mais de 200 servidores de comando e controle – os sistemas que os criminosos usam para controlar dispositivos infectados, roubar dados e manter os ataques em execução.
Ao direcionarmos as ferramentas em conjunto, podemos perturbar a cadeia do cibercrime de forma mais eficiente e eficaz, de uma forma que reflita melhor a forma como estas redes funcionam atualmente.
O cibercrime agora funciona como uma linha de montagem
O crime cibernético não é mais uma série de ataques isolados – é um sistema coordenado.
Ferramentas especializadas cuidam de cada etapa: um obtém acesso, outro rouba credenciais e outros vendem ou exploram esse acesso para fraude, ransomware, espionagem ou outros fins nefastos. Diferentes intervenientes podem estar envolvidos em cada fase, mas juntos transformam o acesso em lucro, de forma rápida e em grande escala.
Essa estrutura também cria um ponto de vulnerabilidade. As pessoas por trás dessas ferramentas cibercriminosas talvez nunca interajam diretamente, mas suas ferramentas são projetadas para funcionarem juntas. Se essas conexões puderem ser identificadas, vários estágios de um ataque poderão ser interrompidos ao mesmo tempo.
Como esses ataques acontecem no mundo actual
A maioria das pessoas nunca ouvirá os nomes Amadey ou StealC, mas sentirá os efeitos. Um hospital bloqueado de sistemas críticos. Uma cidade incapaz de fornecer serviços essenciais. Uma pequena empresa perdendo acesso às contas da noite para o dia. Um aposentado que perdeu as economias de sua vida.
Esses ataques não acontecem todos de uma vez. Elas se desdobram passo a passo: invasores entram, senhas são roubadas, o acesso é reutilizado ou vendido e, às vezes, reaproveitado para operações mais direcionadas. Por exemplo, a Microsoft observou Ator afiliado à Rússia Secret Blizzard aproveitando infecções Amadey para implantar malware personalizado contra alvos na Ucrânia.
Ao visar vários pontos dessa cadeia ao mesmo tempo, reduzimos a probabilidade de um único compromisso se transformar num dano generalizado. Simplificando: menos ataques são bem-sucedidos e menos pessoas sentem o impacto quando o fazem.
Nenhuma organização pode fazer isso sozinha
Ações como esta sublinham uma realidade basic: temos sucesso quando colaboramos. Nenhuma organização, seja governamental ou industrial, tem plena visibilidade sobre como as ameaças cibernéticas operam através das fronteiras e dos setores. O que torna este esforço eficaz é a combinação de perspectivas e dados.
A Microsoft vinha rastreando Amadey devido ao seu impacto nos clientes, trabalhando com parceiros de segurança cibernética ESET, BitSightLúmen e Direções seguras Mitsui Bussan (MBSD) para entender melhor como funcionava. Ao mesmo tempo, Centro Europeu da Cibercriminalidade da Europol (EC3)juntamente com parceiros europeus responsáveis pela aplicação da lei, incluindo Delegacia Federal de Polícia Felony da Alemanha e a Polícia Nacional Holandesa e Dinamarquesa, estava investigando StealC como parte de Operação Fim de Jogoao lado IBM X-Power e Proofpoint.
Reunir esses esforços expandiu nossos conjuntos de dados coletivos e tornou possível identificar as conexões entre as duas ferramentas e agir rapidamente sobre elas. Esse entendimento partilhado permitiu uma resposta coordenada que foi mais longe do que qualquer organização sozinha poderia alcançar.
Isso mostra por que as parcerias são importantes. A indústria partilha conhecimentos técnicos, o governo traz visibilidade e precisamos de formas confiáveis de trocar essas informações. Somente trabalhando a partir da mesma perspectiva poderemos ficar à frente dos invasores, interrompendo não apenas as ferramentas individuais, mas também os sistemas que tornam possível o crime cibernético.
Criando pressão sustentada sobre o crime cibernético
Este trabalho não termina com uma única ação. Os cibercriminosos se adaptam rapidamente, e é por isso que continuamos acompanhando a evolução dessas operações e trabalhando com parceiros para interrompê-las.
A interrupção autorizada pelo tribunal da Microsoft neste caso está associada a esforços contínuos para rastrear como os cibercriminosos reconstroem, identificam novas infraestruturas e trabalham com parceiros para interromper os serviços dos quais dependem para operar. Também inclui a incorporação dos resultados desta perturbação em iniciativas como Programa estatutário de interrupção automatizada da Microsofto que ajuda a acelerar a remoção de domínios e infraestruturas maliciosos.
O objetivo não é apenas interromper uma operação, mas desacelerar o próprio sistema, tornando os ataques mais difíceis de lançar, escalar e recuperar. Ao combinar insights baseados em IA, ações legais e parcerias sólidas, podemos continuar a aumentar o custo do crime cibernético e reduzir o seu impacto.
Durante mais de uma década, a Unidade de Crimes Digitais (DCU) da Microsoft tem trabalhado para desmantelar o crime cibernético e as ameaças estatais, arquivando cerca de 40 casos desde 2008 e estabelecendo parcerias com as autoridades policiais para derrubar redes criminosas. Saiba mais sobre os esforços da equipe aqui.