Uma operação internacional de aplicação da lei desmantelou infraestruturas-chave pertencentes ao grupo de ransomware KillSec, com investigadores identificando um jovem de 16 anos como o principal operador suspeito por trás de uma campanha de cibercrime ligada a centenas de ataques bem-sucedidos.
A ação coordenada ocorreu em 30 de setembro sob Operation KillSwitch , uma investigação liderada pelas autoridades alemãs. A polícia realizou oito buscas em Espanha, Grécia, Romênia e Reino Unido, enquanto três suspeitos foram presos provisoriamente e provas e bens foram apreendidos.
As autoridades também assumiram o controle de cinco servidores centrais usados pela KillSec. A infraestrutura apreendida incluía sistemas usados para gerenciar as operações do grupo e armazenar informações roubadas das vítimas, enquanto os domínios da KillSec foram redirecionados para um aviso de apreensão policial.
Pelo menos 110 terabytes de informações roubadas foram protegidos durante a operação, impedindo novos acessos não autorizados através da infraestrutura agora controlada pelas autoridades. Investigadores estão examinando os sistemas apreendidos para identificar vítimas adicionais e possivelmente descobrir outras pessoas envolvidas na operação.
A KillSec está ativa desde cerca de 2024 e suspeita de ter realizado aproximadamente 1.000 ataques no mundo todo. Até agora, os investigadores classificaram cerca de 500 desses ataques como bem-sucedidos, embora as autoridades alertem que o número pode mudar à medida que mais evidências forem analisadas.
O grupo supostamente obteve acesso a organizações explorando vulnerabilidades de software e pontos de entrada mal protegidos, especialmente aqueles conectados a armazenamento em nuvem. Após entrar nos sistemas da vítima, membros da KillSec copiavam informações sensíveis para a infraestrutura sob seu controle.
Essas informações roubadas foram então usadas para extorsão. As vítimas foram listadas no site da KillSec e ameaçadas de publicação a menos que pagassem resgate. Quando as organizações recusavam, seus arquivos roubados podiam ficar disponíveis para qualquer pessoa baixar.
A investigação revelou um retrato incomum das pessoas suspeitas por trás da operação. As autoridades dizem que o suposto administrador e principal operador tem apenas 16 anos, enquanto outro suspeito identificado como incorporador completou 18 anos em agosto e ainda era menor de idade quando algumas das supostas infrações ocorreram.
Investigadores também identificaram pessoas suspeitas de atuar como negociador de resgate e afiliado. Um homem de 25 anos preso em Manchester é suspeito de negociar com vítimas do KillSec e estava programado para enfrentar processos de extradição em Londres.
As autoridades dizem que a KillSec também incorporou inteligência artificial em suas atividades. Investigadores encontraram evidências de que a IA foi usada para ajudar a desenvolver e manter a infraestrutura de ransomware do grupo e identificar organizações que poderiam ser potencialmente alvo.
A Operação KillSwitch envolveu autoridades de países como Alemanha, Estados Unidos, Bélgica, Finlândia, Grécia, Romênia, Espanha, Suíça e Reino Unido, com coordenação internacional da Europol e Eurojust. Empresas de cibersegurança também auxiliaram na investigação.