Vírus conseguia mudar identidade até 19 vezes ao dia e identificar quando estava sendo estudado
Parece uma cena protagonizada por um personagem mutante de X-Men, mas é assim que acontece com o vírus virtual Beebone, desativado recentemente pelo FBI e pela União Europeia. O vírus mutante mudava sua identidade até 19 vezes ao dia.
No seu ápice, em setembro de 2014, esse malware controlava até 100 mil computadores a cada dia. Os criminosos o utilizavam para roubar senhas e fazer download de outros programas que infectavam os computadores.
Cerca de 12 mil vítimas já utilizaram uma nova ferramenta online para eliminá-lo.
Altamente sofisticado
Uma vez no computador da vítima, o Beebone opera como um aplicativo de download que pode ser controlado pelos criminosos escondidos por trás do programa. Ele foi utilizado para forçar os sistemas infectados a atrair outros malwares da rede, um mais destruidor que o outro.
Uns roubavam senhas, outros bloqueavam arquivos sensíveis e pediam um resgate para liberá-los novamente. Outros, conhecidos como rootkits, acessavam secretamente informações do computador e até tiravam sites do ar.
A empresa de segurança em informática Intel Security, que ajudou a polícia a conter o malware, afirma que havia visto como o Beebone mudava de identidade até 19 vezes ao dia para iludir os métodos antivirais tradicionais.
“O Beebone é altamente sofisticado. Muda regularmente seu identificador único, fazendo download de novas versões de si mesmo e podendo detectar quando está sendo isolado, estudado ou atacado”, explica Raj Samani, diretor de tecnologia da empresa à BBC. “Esse vírus pode bloquear com êxito as tentativas de acabar com ele”, assegura.
Operação Beebone
A Operação Beebone foi levada a cabo pela Força de Ação Conjunta contra o crime cibernético, estabelecida pela União Europeia para frear o crime internacional na internet.
A equipe finalmente conseguiu pegar o vírus evitando que ele se conectasse com os servidores da rede que utilizava para controlar e enviar instruções aos computadores.
Quase 100 domínios .com, .net e .org foram neutralizados utilizando uma técnica denominada “sinkhole”, o processo pelo qual o tráfico destinado a IPs específicos é redirigido desde o ponto controlado pelos criminosos até o controlado pelas autoridades.
Isso permite aos investigadores ver como se comporta o aplicativo e interceptar, assim, as solicitações de novas petições de informação do malware.
O FBI ajudou a operação redirecionando o tráfego da maioria dos endereços da web usados por criminosos, já que eles operavam sob a jurisdição dos Estados Unidos.
Na operação, participaram também empresas privadas como Intel Security, Kaspersky e Shadowserver.
Uma ameaça que vai além
Vários especialistas em segurança consideram que as consequências do ataque podiam ter sido muito piores. Paul Docherty, diretor da Portcullis Security (que aconselha o governo britânico), explica à BBC a importância da metodologia usada por esse vírus.
“O fato de que ele era tão complicado sugere que ele poderia ser usado para mais fins. Se os responsáveis foram capazes de lidar com o código assim, fica difícil de detectar, potencialmente ele poderia ser usado para mudar o objetivo de empresas e outras entidades que geralmente guardam no computador muitos dados valiosos e sensíveis”.
O chefe de operações do Centro Europeu contra o crime cibernético, Paul Gillen, disse à BBC que a agência vai analisar agora se é possível identificar quem está por trás dos ataques para levá-los à Justiça.