Operação Fim de Jogo desmantela três grandes redes de cibercrime e apreende mais de mil servidores

Lead — Uma força-tarefa internacional coordenada pela Europol encerrou as atividades de três das maiores operações de cibercrime conhecidas atualmente. A investida, batizada de Operação Fim de Jogo, confiscou mais de mil servidores, prendeu o principal suspeito na Grécia e neutralizou o malware Rhadamanthys, a botnet Elysium e o trojan de acesso remoto VenomRAT.

Alcance global e coordenação policial inédita

O feito foi possível graças a uma coalizão composta por autoridades de diferentes países, que compartilharam informações, articularam mandados judiciais e executaram ações de busca simultâneas. A Europol centralizou esse esforço, reunindo provas técnicas e apontando a localização exata dos servidores que sustentavam as infraestruturas maliciosas. O fato de o principal suspeito ter sido detido em território grego demonstra a abrangência transnacional do esquema e a necessidade de mecanismos legais que ultrapassem fronteiras para alcançar os responsáveis.

Segundo as autoridades, a colaboração envolveu forças policiais, peritos forenses digitais e empresas de segurança cibernética que ofereceram inteligência de rede. Essa conjunção de esforços permitiu a derrubada coordenada dos ativos criminosos, prevenindo tentativas de restauração dos sistemas comprometidos.

Estrutura desmantelada e volume de dados comprometidos

A operação resultou na apreensão de mais de mil servidores distribuídos em diversos continentes. Esses equipamentos hospedavam códigos maliciosos, painéis de controle e bases de dados com informações de vítimas. A investigação revela que a infraestrutura mantinha centenas de milhares de computadores infectados, utilizados como ponto de partida para novas invasões ou para a extração silenciosa de credenciais.

No interior desses servidores, os agentes encontraram milhões de credenciais roubadas, incluindo combinações de logins e senhas, chaves de carteiras digitais e outros registros sensíveis. A escala das violações indica que muitas vítimas desconheciam completamente o comprometimento de seus dispositivos, permanecendo vulneráveis por longos períodos. Ao derrubar os servidores de comando e controle, a coalizão internacional quebrou a comunicação entre os criminosos e os computadores contaminados.

Rhadamanthys: o ladrão de informações em ascensão

Entre as ameaças neutralizadas, o Rhadamanthys se destacava como o principal vetor de roubo de dados. Ele emergiu com força logo após o encerramento do malware Lumma, preenchendo rapidamente a lacuna deixada no mercado clandestino. A preferência dos agentes mal-intencionados pelo Rhadamanthys se explica por quatro características verificadas pelas autoridades:

1. Roubo de senhas e chaves de carteiras digitais — O código foi concebido para percorrer sistemas de arquivos, navegadores e gerenciadores de senhas em busca de credenciais, capturando inclusive chaves privadas usadas em transações de criptomoedas.
2. Acesso não autorizado a dados pessoais e financeiros — Além das senhas, o malware coletava documentos, registros bancários e outras informações capazes de viabilizar fraudes e extorsões.
3. Disseminação via anúncios maliciosos e fóruns clandestinos — A propagação ocorria por meio de campanhas de publicidade enganosa e pela revenda do kit de infecção em mercados ilegais, expandindo rapidamente o número de vítimas.
4. Crescimento acelerado após o fim do Lumma — Com a queda do antecessor, o Rhadamanthys passou a dominar o cenário, chegando a comprometer mais de 12 mil dispositivos apenas em outubro de 2025, de acordo com uma das equipes de pesquisa que apoiou a Operação Fim de Jogo.

A soma desses fatores transformou o malware no alvo prioritário da força-tarefa. A remoção dos servidores associados interrompeu de forma imediata o fluxo de dados ilícitos para os controladores do esquema.

Elysium e VenomRAT: instrumentos de controle remoto em larga escala

A botnet Elysium e o trojan VenomRAT também foram desativados no mesmo esforço conjunto. A primeira consistia em uma rede de computadores zumbis, controlados à distância para executar ataques distribuídos ou hospedar conteúdo fraudulento. Já o VenomRAT fornecia aos invasores acesso persistente às máquinas comprometidas, permitindo a instalação de softwares adicionais, a gravação de teclas digitadas e o monitoramento de atividades.

Essas duas ferramentas funcionavam de forma complementar ao Rhadamanthys. Enquanto o ladrão de dados coletava informações, a botnet e o trojan garantiam infraestrutura para manter o controle remoto, espalhar novos malwares e ocultar a origem dos operadores. Desativar todos esses componentes simultaneamente foi decisivo para interromper o ciclo completo de ataque, que incluía infecção, extração, expansão e monetização.

Métodos de infecção e manutenção do acesso

Os relatórios divulgados pelas equipes envolvidas indicam que os três sistemas abusavam de anúncios maliciosos presentes em sites comprometidos. Ao clicar nesses anúncios, a vítima era redirecionada para downloads aparentando ser aplicações legítimas. Uma vez executados, os programas iniciavam a comunicação com os servidores de comando, onde recebiam instruções adicionais.

Para manter a persistência, o VenomRAT alterava chaves de inicialização do sistema operacional, enquanto a botnet Elysium inseria rotinas de agendamento de tarefas. O Rhadamanthys, por sua vez, permanecia em segundo plano, realizando varreduras periódicas para coletar qualquer nova credencial salva pelo usuário. Cada componente tinha uma função específica, mas todos compartilhavam a mesma infraestrutura centralizada, agora sob custódia das autoridades.

Consequências imediatas da derrubada

O confisco dos servidores resultou em efeitos diretos sobre as operações criminosas: interrupção de atualizações de malware, perda de controle sobre máquinas infectadas e bloqueio do fluxo de dados sensíveis. Os investigadores afirmam que o volume de credenciais obtidas pelos criminosos ainda está sendo analisado para identificar vítimas e minimizar danos adicionais. A expectativa é que avisos de segurança sejam emitidos, orientando a troca de senhas e a revisão de medidas de autenticação.

Dinâmica de substituição de ameaças

Especialistas envolvidos no caso observam que a remoção de uma plataforma não encerra o ciclo do cibercrime. O histórico recente mostra que, sempre que um malware é desarticulado, outro rapidamente ocupa seu lugar, replicando ou aprimorando as mesmas funcionalidades. O crescimento acelerado do Rhadamanthys após a queda do Lumma ilustra esse padrão de substituição. Dessa forma, a Operação Fim de Jogo é vista como um marco significativo, porém parte de um processo contínuo de contenção.

Desafios permanentes à segurança digital

Embora a ofensiva represente um avanço, os investigadores enfatizam que a superfície de ataque global continua extensa. Dispositivos desatualizados, configurações inseguras e a ampla circulação de dados pessoais criam um ambiente favorável para o surgimento de novas variantes de malware. A complexidade dos ecossistemas online também dificulta a detecção precoce de infecções, permitindo que redes como a Elysium se consolidem antes de serem identificadas.

Além disso, o modelo de negócio baseado na venda ou locação de kits maliciosos em fóruns clandestinos reduz a barreira de entrada para novos agentes. Mesmo com a prisão do principal suspeito na Grécia, outros operadores podem recorrer a ferramentas similares, impulsionando o “jogo de gato e rato” descrito por pesquisadores de cibersegurança.

Importância da cooperação internacional contínua

O desfecho da Operação Fim de Jogo reforça a necessidade de coordenação entre governos, setor privado e comunidade de pesquisa. A troca de indicadores de comprometimento, o acionamento rápido de provedores de hospedagem e o alinhamento de procedimentos legais são apontados como elementos cruciais para repetir o sucesso alcançado nesta ação.

As autoridades envolvidas afirmam que continuarão monitorando ambientes clandestinos em busca de sucessores do Rhadamanthys, da Elysium e do VenomRAT. A meta é identificar precocemente novas ameaças, evitando que alcancem o mesmo nível de disseminação e prejuízo verificado antes da ofensiva internacional.

Com mais de mil servidores fora de operação, milhões de credenciais sequestradas agora sob análise e a prisão de um suspeito chave, a Operação Fim de Jogo estabelece um precedente no combate às redes de cibercrime em escala global. A ação demonstra que parcerias estratégicas, somadas a investigações técnicas precisas, possibilitam interromper cadeias complexas de ataque e devolver parte da segurança aos ecossistemas digitais.