Cibercrime

O Departamento de Justiça dos EUA anunciou que cinco indivíduos se declararam culpados por ajudar a Coreia do Norte em esquemas de geração de receita ilícita, violando sanções internacionais. Os acusados, entre 24 e 34 anos, facilitaram fraudes envolvendo trabalhadores de tecnologia da informação (TI) que se apresentavam como cidadãos americanos para obter empregos em empresas dos EUA. Entre as ações fraudulentas, destacam-se a utilização de identidades falsas, a instalação de software de acesso remoto em laptops e a realização de testes de drogas em nome dos trabalhadores. Um dos réus, Oleksandr Didenko, também foi acusado de roubo de identidade e operou um site para vender identidades roubadas. O esquema resultou em mais de 2,2 milhões de dólares em receita para o regime norte-coreano e comprometeu a identidade de mais de 18 cidadãos americanos. Além disso, o DoJ está buscando confiscar mais de 15 milhões de dólares em criptomoedas relacionadas a atividades de hackers associados à Coreia do Norte, que realizaram diversos roubos em plataformas de moeda virtual. Essas ações refletem os esforços contínuos do governo dos EUA para combater as operações de TI e hacking da Coreia do Norte, que têm sido utilizadas para financiar seu programa nuclear.

Entre os dias 10 e 13 de novembro de 2025, uma operação coordenada liderada pela Europol e Eurojust resultou no desmantelamento de famílias de malware, incluindo Rhadamanthys Stealer, Venom RAT e a botnet Elysium. Esta ação faz parte da Operação Endgame, que visa combater infraestruturas criminosas e ransomware em todo o mundo. Durante a operação, mais de 1.025 servidores foram derrubados e 20 domínios foram apreendidos. A Europol informou que a infraestrutura desmantelada continha centenas de milhares de computadores infectados, com milhões de credenciais roubadas. Muitos dos afetados não tinham conhecimento da infecção em seus sistemas. Além disso, o principal suspeito do Venom RAT foi preso na Grécia e tinha acesso a cerca de 100.000 carteiras de criptomoedas, representando um potencial valor de milhões de euros. A análise da Check Point revelou que a versão mais recente do Rhadamanthys agora coleta impressões digitais de dispositivos e navegadores, utilizando mecanismos para evitar detecção. A operação contou com a colaboração de agências de segurança de vários países, incluindo Estados Unidos, Austrália e diversos países europeus.

O Google entrou com uma ação civil no Tribunal Distrital dos EUA para o Sul de Nova York contra hackers baseados na China, responsáveis por uma plataforma de Phishing-as-a-Service (PhaaS) chamada Lighthouse. Essa plataforma já afetou mais de 1 milhão de usuários em 120 países, utilizando ataques de phishing via SMS que se disfarçam como mensagens de marcas confiáveis, como E-ZPass e USPS, para roubar informações financeiras. A operação, que gerou mais de um bilhão de dólares em três anos, utiliza templates fraudulentos que imitam a marca do Google, enganando os usuários. A empresa busca desmantelar a infraestrutura criminosa sob a Lei RICO e outras legislações. A plataforma Lighthouse, junto com outras como Darcula e Lucid, faz parte de um ecossistema de cibercrime interconectado que envia milhares de mensagens maliciosas, visando roubar dados sensíveis. Estima-se que entre 12,7 milhões e 115 milhões de cartões de pagamento tenham sido comprometidos nos EUA entre julho de 2023 e outubro de 2024. A crescente sofisticação dos ataques, incluindo o uso de ferramentas como Ghost Tap, representa uma ameaça significativa para a segurança digital.

Nos últimos dez anos, a comunidade de cibercriminosos de língua inglesa conhecida como “The COM” evoluiu de um nicho focado na troca de nomes de usuário raros em redes sociais para uma economia subterrânea ágil que orquestra uma ampla gama de ataques globais. Com a queda de fóruns de alto perfil, como o RaidForums, a COM se adaptou, combinando habilidades de manipulação social com a expertise técnica de hackers focados em vazamentos de dados. As táticas incluem engenharia social, phishing, SIM swapping e recrutamento de insiders, com grupos como Lapsus$, ShinyHunters e Scattered Spider exemplificando essa nova abordagem. A COM opera como uma cadeia de suprimentos profissionalizada, onde papéis especializados colaboram em um modelo modular, facilitando a escalabilidade e inovação. A colaboração entre especialistas de língua inglesa e sindicatos de cibercrime de língua russa intensifica a ameaça, tornando a defesa mais desafiadora. Para se proteger, as organizações devem adotar defesas centradas na identidade, autenticação multifatorial resistente a phishing e monitoramento contínuo de ameaças internas, reconhecendo que a cibercriminalidade é tanto um negócio quanto uma performance, visando não apenas sistemas, mas também pessoas.

Um novo consórcio de cibercriminosos, denominado Scattered LAPSUS$ Hunters (SLH), surgiu a partir da fusão de três grupos notórios: Scattered Spider, ShinyHunters e LAPSUS$. De acordo com a equipe de inteligência de ameaças da Trustwave SpiderLabs, o SLH é descrito como uma “aliança federada” que oferece Extorsão como Serviço (EaaS), herdando características operacionais do ecossistema cibercriminoso conhecido como The Com. O grupo utiliza o Telegram como plataforma de coordenação e identidade pública, mesclando motivação financeira com um estilo hacktivista. Desde sua primeira aparição em agosto de 2025, o SLH tem demonstrado uma notável capacidade de adaptação, reestabelecendo sua presença mesmo após frequentes desmantelamentos. O grupo promove seu modelo EaaS, convidando afiliados a “alugar” sua marca para campanhas de extorsão. Além disso, o SLH está desenvolvendo um ransomware chamado “Sh1nySp1d3r”. As táticas do grupo incluem engenharia social avançada e exploração de vulnerabilidades, como CVE-2025-31324 e CVE-2025-61882, indicando uma possível colaboração com outros operadores de ransomware. A análise sugere que o SLH representa uma reestruturação estratégica de operadores veteranos, sinalizando um novo modelo de ciberextorsão para 2026.

Uma operação coordenada de aplicação da lei resultou na prisão de nove indivíduos envolvidos em uma rede de lavagem de dinheiro com criptomoedas, que enganou vítimas em um total de €600 milhões (aproximadamente $688 milhões). A ação, realizada entre 27 e 29 de outubro, abrangeu países como Chipre, Espanha e Alemanha, com o apoio de agências de outros países europeus, incluindo França e Bélgica. Os suspeitos foram acusados de criar plataformas de investimento em criptomoedas fraudulentas que prometiam altos retornos, atraindo vítimas por meio de publicidade em redes sociais, chamadas frias e depoimentos falsos. Após os investimentos, os ativos eram lavados utilizando tecnologia de blockchain. A investigação começou após reclamações de vítimas que não conseguiam recuperar seus investimentos, levando às prisões e apreensões de €800.000 em contas bancárias, €415.000 em criptomoedas e €300.000 em dinheiro. A Europol destacou que o uso criminoso de criptomoedas está se tornando cada vez mais profissional e organizado, exigindo uma resposta colaborativa e eficaz das autoridades.

Um novo coletivo cibercriminoso, formado por grupos como Scattered Spider, LAPSUS$ e ShinyHunters, tem se destacado por sua atividade no Telegram, onde já criou 16 canais desde agosto de 2025. O grupo, denominado Scattered LAPSUS$ Hunters (SLH), tem se envolvido em ataques de extorsão de dados, visando empresas que utilizam plataformas como Salesforce. O SLH oferece um serviço de extorsão como serviço (EaaS), permitindo que afiliados se unam para exigir pagamentos em troca do uso de sua marca. Além disso, o grupo tem se posicionado como uma entidade organizada, utilizando uma estrutura administrativa que confere legitimidade a suas operações. As atividades incluem campanhas de pressão contra executivos de alto escalão e a promoção de uma nova família de ransomware chamada Sh1nySp1d3r, que pode rivalizar com grupos estabelecidos como LockBit. A análise da Trustwave sugere que o SLH combina motivações financeiras com elementos de hacktivismo, utilizando técnicas de engenharia social e desenvolvimento de exploits para realizar suas operações. O uso do Telegram como plataforma central para coordenação e visibilidade reflete uma estratégia de comunicação eficaz entre os membros do grupo.

O AdaptixC2, um framework de código aberto para comando e controle (C2), está sendo utilizado por um número crescente de atores de ameaças, incluindo grupos de ransomware ligados à Rússia. Desenvolvido inicialmente por um usuário do GitHub conhecido como ‘RalfHacker’, o AdaptixC2 é projetado para testes de penetração e oferece uma variedade de recursos, como comunicações criptografadas, execução de comandos e gerenciamento de credenciais. Desde sua liberação pública em agosto de 2024, o framework tem sido adotado por grupos de hackers, incluindo operações de ransomware como Fog e Akira. A Palo Alto Networks caracterizou o AdaptixC2 como um framework modular que permite controle abrangente de máquinas comprometidas. Apesar de ser uma ferramenta ética, sua popularidade entre cibercriminosos levanta preocupações. A empresa Silent Push iniciou uma investigação após a descrição de RalfHacker como ‘MalDev’, encontrando conexões com o submundo criminoso da Rússia. Embora não se saiba se RalfHacker está diretamente envolvido em atividades maliciosas, a utilização crescente do AdaptixC2 por atores de ameaças russos é um sinal de alerta significativo.

O avanço da inteligência artificial generativa tem transformado o cibercrime em uma economia paralela que movimenta anualmente cerca de US$ 10 trilhões, segundo Tania Cosentino, ex-presidente da Microsoft Brasil. Durante sua apresentação no CRM Zummit 2025, Cosentino destacou que a combinação de novas tecnologias, como a migração para a nuvem e o trabalho remoto, ampliou a superfície de ataque, tornando as empresas mais vulneráveis. Os hackers utilizam IA para aumentar a velocidade e a sofisticação de seus ataques, resultando em ameaças complexas, como ransomware e ataques a cadeias de suprimento. O tempo de resposta dos atacantes é alarmante, com a média de apenas 1 hora e 12 minutos para se mover lateralmente dentro de uma rede após o acesso inicial. O Brasil é um dos países mais atacados, especialmente em ransomware, devido à percepção de que os resgates são frequentemente pagos. Além disso, a falta de profissionais qualificados em cibersegurança e a disparidade entre regiões do país agravam a situação. A segurança cibernética não é apenas uma questão técnica, mas também um diferencial competitivo, pois 69% dos consumidores evitam empresas percebidas como inseguras.

O malware Rhadamanthys, promovido por um ator de ameaças conhecido como kingcrete2022, se destaca como um dos principais ladrões de informações disponíveis sob o modelo de malware-as-a-service (MaaS). Com a versão 0.9.2, o software agora coleta impressões digitais de dispositivos e navegadores, ampliando suas capacidades além da simples coleta de dados. A Check Point revelou que os desenvolvedores rebranding como ‘RHAD security’ e ‘Mythical Origin Labs’ estão oferecendo pacotes que variam de $299 a $499 por mês, indicando uma profissionalização do serviço. A nova versão inclui recursos para evitar a detecção, como alertas que permitem a execução do malware sem danos ao sistema. Além disso, o malware utiliza técnicas de esteganografia para ocultar seu payload, que é extraído e executado após uma série de verificações para evitar ambientes de sandbox. A evolução do Rhadamanthys, com a adição de um runner Lua para plugins, representa uma ameaça crescente à segurança pessoal e corporativa, exigindo atenção contínua dos profissionais de segurança.

Um novo relatório da Cisco Talos revela uma campanha de cibercrime em larga escala conduzida pelo grupo de hackers UAT-8099, que tem como alvo servidores vulneráveis do Internet Information Services (IIS) em países como Índia, Tailândia, Vietnã, Canadá e Brasil desde abril de 2025. O foco principal do grupo é manipular rankings de otimização para motores de busca (SEO), redirecionando tráfego valioso para anúncios não autorizados e sites de jogos de azar, enquanto exfiltra dados sensíveis de instituições proeminentes.

O Departamento de Justiça dos EUA reavaliou a sentença de Conor Brian Fitzpatrick, conhecido como Pompompurin, ex-administrador do BreachForums, condenando-o a três anos de prisão. Fitzpatrick, de 22 anos, foi preso em março de 2023 e se declarou culpado de várias acusações, incluindo conspiração e posse de material de abuso sexual infantil. Como parte do acordo, ele concordou em renunciar a mais de 100 domínios e dispositivos eletrônicos utilizados na operação do fórum, além de criptomoedas que representavam os lucros ilícitos. O BreachForums, que surgiu após o fechamento do RaidForums, permitia a compra e venda de dados roubados, atingindo um pico de 330 mil membros e armazenando mais de 14 bilhões de registros. Apesar das tentativas de desmantelamento, o fórum foi relançado várias vezes e, recentemente, um novo grupo assumiu o controle após a prisão de Baphomet em 2023. O impacto das atividades de Fitzpatrick é considerado incalculável, tanto em termos de danos financeiros quanto sociais.

O Departamento do Tesouro dos EUA impôs sanções a várias organizações de cibercrime localizadas na Birmânia e no Camboja, que foram responsáveis por fraudes que resultaram em perdas de mais de US$ 10 bilhões para cidadãos americanos em 2024. Essas organizações operavam principalmente por meio de golpes românticos e oportunidades de investimento falsas, além de estarem envolvidas em trabalho forçado e tráfico humano. As sanções congelam os ativos das entidades afetadas e bloqueiam seu acesso ao sistema financeiro dos EUA, dificultando suas operações globais. O governo dos EUA destacou que as perdas devido a esses golpes aumentaram 66% em relação ao ano anterior, ressaltando a gravidade da situação. Entre os alvos das sanções estão indivíduos que controlam propriedades que abrigam centros de fraude, além de fornecedores de energia e redes de lavagem de dinheiro. O impacto das sanções é significativo, pois impede que cidadãos e empresas dos EUA façam negócios com os indivíduos sancionados, além de desencorajar instituições financeiras internacionais de se envolverem com eles.

Em uma operação coordenada pela INTERPOL, 1.209 cibercriminosos foram presos em 18 países africanos, com foco em crimes cibernéticos como ransomware e fraudes online. A operação, chamada de Serengeti 2.0, resultou na recuperação de US$ 97,4 milhões e na desarticulação de 11.432 infraestruturas maliciosas. Entre os destaques, estão a desativação de 25 centros de mineração de criptomoedas em Angola, onde 60 cidadãos chineses estavam envolvidos, e a interrupção de uma operação de fraude de investimento online na Zâmbia, que enganou 65.000 vítimas, resultando em perdas de cerca de US$ 300 milhões. Além disso, uma rede de fraude de herança transnacional originada na Alemanha foi desmantelada. A operação ressalta a necessidade urgente de cooperação internacional no combate ao cibercrime, que não respeita fronteiras. A INTERPOL enfatizou que a colaboração entre países é essencial para aumentar a eficácia das ações contra esse tipo de crime.

Noah Michael Urban, um jovem de 20 anos, foi condenado a dez anos de prisão nos Estados Unidos por sua participação em uma série de ataques cibernéticos e roubos de criptomoedas, relacionados ao infame grupo de cibercrime conhecido como Scattered Spider. Urban, que se declarou culpado de fraude eletrônica e roubo de identidade agravado, também foi condenado a pagar US$ 13 milhões em restituição às vítimas. Entre agosto de 2022 e março de 2023, ele e seus cúmplices realizaram ataques de SIM swapping, que permitiram o acesso não autorizado a contas de criptomoedas, resultando em um roubo de pelo menos US$ 800 mil de cinco vítimas diferentes. Além disso, o Departamento de Justiça dos EUA revelou que Urban e outros membros do grupo utilizaram técnicas de engenharia social para invadir redes corporativas e roubar dados proprietários, além de desviar milhões de dólares em criptomoedas. O Scattered Spider, que se uniu a outros grupos de cibercrime, está se tornando uma ameaça crescente, utilizando táticas que exploram vulnerabilidades humanas em vez de apenas técnicas. A condenação de Urban destaca a necessidade de vigilância contínua e medidas de segurança robustas para proteger informações sensíveis em um cenário de cibercrime em evolução.

Ethan Foltz, um jovem de 22 anos do Oregon, foi acusado de desenvolver e gerenciar uma botnet de DDoS chamada RapperBot, que tem sido utilizada para realizar ataques em larga escala em mais de 80 países desde 2021. O Departamento de Justiça dos EUA informou que Foltz enfrenta uma acusação de auxílio e cumplicidade em intrusões de computador, podendo pegar até 10 anos de prisão se condenado. A botnet RapperBot, também conhecida como ‘Eleven Eleven Botnet’ e ‘CowBot’, compromete dispositivos como gravadores de vídeo digitais e roteadores Wi-Fi, utilizando malware especializado. Os clientes da RapperBot podem emitir comandos para esses dispositivos infectados, forçando-os a enviar grandes volumes de tráfego DDoS para servidores e computadores ao redor do mundo. A botnet é inspirada em outras como fBot e Mirai, e foi documentada pela primeira vez em 2022. A investigação revelou que Foltz e seus cúmplices monetizaram a botnet, realizando mais de 370.000 ataques a 18.000 vítimas únicas, incluindo alvos na China, Japão, EUA, Irlanda e Hong Kong. A operação para desmantelar a RapperBot faz parte da iniciativa internacional Operation PowerOFF.