Polícia tailandesa prende 4 suspeitos de integrar o grupo 8Base Ransomware

A polícia tailandesa prendeu quatro supostos membros da gangue de ransomware 8Base, que, segundo as autoridades, extorquiu US$ 16 milhões em pagamentos de resgate por meio de ataques prolíficos contra organizações, em sua maioria de pequeno e médio porte.

Os quatro homens foram detidos na ilha de Phuket, um conhecido destino de férias no extremo sul da Tailândia, como parte de uma operação policial internacional coordenada, com o codinome Operação Phobos Aetor.

“Esses indivíduos, todos cidadãos russos, são suspeitos de usar uma variante do ransomware Phobos para extorquir pagamentos de alto valor de vítimas em toda a Europa e além”, disse a agência de inteligência policial da UE, a Europol.

A agência disse que 27 servidores vinculados à operação 8Base também foram retirados do ar como parte da operação, que envolveu autoridades de 14 países.

Os quatro suspeitos do sexo masculino, com idades entre 27 e 29 anos, foram presos com base em mandados da Interpol e não foram nomeados pela polícia, de acordo com relatos da mídia tailandesa . A polícia tailandesa disse que apreendeu mais de 40 peças de evidência, incluindo laptops, celulares e carteiras digitais.

Os suspeitos foram acusados ​​de atacar 17 organizações suíças de abril de 2023 a outubro de 2024, incluindo roubo de dados e liberação do ransomware Phobos em suas redes, criptografia forçada de arquivos e exigência de resgates em troca de uma chave de descriptografia e a promessa de não divulgar os dados roubados, disse a polícia tailandesa.

Os suspeitos supostamente enfrentam acusações tanto na Suíça quanto nos Estados Unidos, incluindo alegações de lavagem de dinheiro vinculadas a resgates em criptomoedas pagos pelas vítimas. Ainda não está claro se a Suíça e os EUA podem buscar a extradição deles.

Site de vazamento da 8Base é apreendido

Os suspeitos foram acusados ​​de serem membros do grupo russo de ransomware 8Base e de usar o ransomware Phobos em ataques direcionados a mais de 1.000 organizações em todo o mundo, com danos estimados em mais de US$ 16 milhões.

Aparentemente fechado pelas autoridades alemãs, o site de vazamento de dados do ransomware 8Base, hospedado na rede anônima Tor, começou a resultar em um aviso de apreensão na segunda-feira.

“Este site oculto e o conteúdo criminoso foram apreendidos pelo Escritório de Polícia Criminal do Estado da Baviera em nome do Gabinete do Promotor Público Geral em Bamberg”, diz o aviso de apreensão. O aviso apresenta logotipos de várias organizações policiais, incluindo não apenas a Polícia Federal Alemã, mas também o FBI, a Europol, a Polícia Tcheca, a Agência Nacional de Crimes do Reino Unido, a Agência Nacional de Polícia do Japão e muito mais.

A Europol disse que as informações coletadas durante a operação ajudaram a polícia a alertar mais de 400 organizações em todo o mundo de que elas corriam risco iminente por causa do grupo.

“As cepas de ransomware Phobos e 8Base tiveram um impacto significativo no Reino Unido, com as autoridades policiais fornecendo suporte a mais de 200 vítimas”, disse Paul Foster, chefe da Unidade Nacional de Crimes Cibernéticos da NCA.

“Como resultado da inteligência obtida durante a investigação, a NCA e nossos parceiros policiais conseguiram evitar que diversas empresas que foram alvos dessas cepas de ransomware sucumbisse à criptografia e se tornassem vítimas, mitigando assim o impacto devastador que um ataque teria sobre suas empresas”, disse Foster.

Phobos Ransomware

As prisões na Tailândia não são as primeiras ligadas a Phobos. A polícia italiana prendeu em 2023 um afiliado acusado em um mandado de prisão francês. Em novembro de 2024, um cidadão russo acusado de empunhar Phobos compareceu ao tribunal federal dos EUA pela primeira vez após ser extraditado da Coreia do Sul. Evgenii Ptitsyn, 42, enfrenta uma acusação criminal de 13 acusações com potencial para prendê-lo pelo resto de sua vida. Ele permanece sob custódia dos EUA.

O ransomware Phobos apareceu pela primeira vez em 2018, aparentemente baseado em variantes anteriores do ransomware Dharma e CrySiS, e normalmente aparecia em ataques lançados contra organizações de pequeno e médio porte, muitas vezes incluindo hospitais, e levando a sérias interrupções no atendimento aos pacientes.

Os hackers que usam Phobos ganharam reputação por mirar em organizações de pequeno e médio porte em uma variedade de setores, incluindo clínicas médicas. “Ao contrário de grupos de ransomware de alto perfil que miram grandes corporações, o Phobos depende de ataques de alto volume contra empresas de pequeno e médio porte, que muitas vezes não têm as defesas de segurança cibernética para se protegerem”, disse a Europol.

Um aviso federal de segurança cibernética dos EUA publicado no início de 2024 concluiu que o ransomware Phobos provavelmente está conectado a inúmeras variantes, incluindo Elking, Eight, Devos, Backmydata e Faust ransomware. Os hackers Phobos ganham acesso aos sistemas por meio de campanhas de phishing e por meio de instâncias vulneráveis ​​de protocolo de desktop remoto. Eles geralmente implantam o backdoor SmokeLoader como um precursor para baixar o cryptolocker Phobos.

A ascensão do 8Base

Embora os pesquisadores monitorem os ataques ao 8Base desde 2022, o grupo lançou um site de vazamento pela primeira vez em 2023, e seus ataques pareceram aumentar em meados daquele ano.

A VMware relatou em meados de 2023 que o 8Base parecia ser uma cópia ou um desdobramento de outro grupo chamado RansomHouse. “Está em debate se o RansomHouse é um grupo de ransomware real ou não. O grupo compra dados já vazados, faz parcerias com sites de vazamento de dados e então extorque empresas por dinheiro”, disseram pesquisadores da VMware na época.

Ataques de malware de bloqueio de criptografia vinculados ao 8Base envolveram uma versão personalizada do ransomware Phobos, com uma extensão .8baseou .eightsendo adicionada a arquivos criptografados à força. “Com o ransomware Phobos disponível como um ransomware-as-a-service, isso não é uma surpresa”, disse a VMware, observando que o malware é projetado para permitir que seus usuários criminosos façam esses tipos de alterações.

Mais tarde, em 2023, a 8Base parecia estar tentando comercializar seus ataques — e assustar alvos futuros — prometendo compartilhar com jornalistas, por meio de um “canal de RP do Telegram” dedicado, informações sobre vítimas horas ou dias antes de serem exibidas em seu site de vazamento público.

Em meados de 2024, a 8Base pareceu evoluir ainda mais, usando seu site para extorsões duplas — exigindo um resgate separado por um descriptografador, além de não vazar dados roubados — e também para fornecer uma oferta de “vazamento de dados como serviço” a outros criminosos.

“Informações coletadas sobre as operações da 8Base revelam que seu site parece ser um ‘site de vazamento de aluguel’, próximo às suas próprias implantações de ransomware, onde outros grupos podem ‘fazer parceria’ com a organização para hospedar seus dados roubados para fins de dupla extorsão”, disse a consultoria global de segurança cibernética S-RM.

As muitas vítimas do 8Base incluem uma organização canadense sem fins lucrativos que administra programas odontológicos do governo, que pagou um resgate ao grupo, e a gigante automotiva alemã Volkswagen Group . A VW disse que o ataque não interrompeu sua infraestrutura de TI e aparentemente não pagou resgate.

Fonte: Mathew J. Schwartz – Data Breach TODAY – 11 de fevereiro de 2025