Europol apreende servidores Cobalt Strike

A Europol, agência europeia de segurança contra crime organizado, terrorismo e cibercrimes, anunciou esta semana uma operação de repressão global contra a utilização de ferramentas de segurança legais por cibercriminosos, o que incluiu a eliminação de cerca de 600 servidores de Cobalt Strike ligados a atividades ilícitas.

A agência de segurança trabalhou em conjunto com várias empresas do setor privado para assinalar os servidores Cobalt Strike que foram utilizados por grupos cibercriminosos e forneceu essa informação para fornecedores de serviços online para poderem desativar as versões sem licença da ferramenta.

“Um total de 690 endereços IP foram assinalados a fornecedores de serviços online em 27 países. No final da semana, 593 desses endereços já tinham sido desativados”, refere a Europol.

A investigação internacional, chamada de Operação Morpheus, foi conduzida pela National Crime Agency do Reino Unido e teve ajuda de forças de segurança da Austrália, Canadá, Alemanha, Países Baixo, Polónia e Estados Unidos.

A Europol explicou que coordenou a atividade internacional e estabeleceu a ligação com os parceiros privados numa investigação iniciada em 2021.

O Cobalt Strike, uma ferramenta comercial do fornecedor de software Fortra, é utilizado para ajudar funcionários de segurança de IT a executar simulações de ciberataques para identificar os pontos fracos das operações de segurança e das respostas a incidentes. No entanto, nas mãos erradas, a Europol avisou que as cópias sem licença do Cobalt Strike proporcionam aos cibercriminosos uma grande variedade de capacidades de ataque.

A agência declarou que a Fortra tem vindo a trabalhar para evitar o abuso do software e estabeleceu parcerias com as forças de segurança para proteger a utilização legal das ferramentas. Contudo, em alguns casos, a Europol afirmou que os cibercriminosos roubaram versões mais antigas do Cobalt Strike, criando cópias pirateadas para obter acesso às máquinas e instalarem malware.

Estas versões sem licença da ferramenta têm sido conectadas a vários malwares e investigações de ransomware, incluindo as do RYUK, Trickbot e Conti, de acordo com a agência de segurança.