Phobos exposto: como um ransomware como serviço movia milhões e caiu graças a uma operação internacional

A recente declaração de culpa de um cidadão russo pelo seu papel na administração do ransomware Phobos volta a colocar em primeiro plano como funcionam hoje as economias criminosas digitais e os danos colaterais que geram. Segundo documentos judiciais e comunicados policiais, esta operação de tipo "ransomware-as-a-service" (RaaS) infectou centenas de organizações em todo o mundo e teria cobrado dezenas de milhões de dólares em pagamentos de resgate.

Phobos não é uma ameaça nova: pesquisadores de segurança identificaram a família como uma derivação de famílias prévias como Crysis/Dharma, e seu modelo de negócio gira em torno da venda e do aluguel de ferramentas a terceiros que executam as invasões. Uma análise técnica publicada pela Cisco Talos explica detalhadamente a estrutura de afiliados que permitiu a proliferação de Phobos em fóruns e mercados clandestinos Talos. Essa arquitetura facilita que operadores com diferente grau de técnica e organização possam lançar ataques sem ter que desenvolver o malware a partir de zero.

Os cargos contra Evgenii Ptitsyn, que foi extraditado da Coreia do Sul em novembro de 2024, descrevem uma operação na qual os administradores ofereciam chaves de decifração em troca de um pagamento fixo por implantação, além de se levar uma comissão dos resgates. O processo que coleta a acusação detalha que cada implantação foi atribuído a um identificador alfanumérico único para emparelhar com a chave de decifração correspondente, e que as transferências das comissões foram trazadas para uma carteira controlada pelos administradores Segundo os documentos judiciais.

Os números que desceram nas diferentes comunicações oficiais são chamados. A Procuradoria dos EUA e outras fontes estimam que o grupo atrás de Phobos arrecadou mais de 39 milhões de dólares e que a operação afetou mais de mil entidades públicas e privadas. Além disso, entre maio e novembro de 2024, as amostras enviadas ao serviço ID Ransomware apontavam Phobos como responsável por uma parte significativa dos casos relatados, o que dá uma ideia de seu alcance operacional.

O funcionamento do ecossistema Phobos foi típico do modelo RaaS: os administradores mantinham a infraestrutura, desenvolviam o malware e vendiam ou alugavam acessos e chaves a afiliados que executavam as invasões. Esses afiliados, segundo a acusação, penetravam redes através de credenciais roubadas, deslocamento lateral e outras técnicas, e então cifravam dados críticos, exfiltravam informações e pressionavam as vítimas por vias eletrônicas e telefônicas para pagarem. A operação combinava extorsão tecnológica com ameaças de filtrar ou vender dados exfiltrados a terceiros.

No plano policial, a queda de peças-chave da rede tem sido fruto de pesquisas internacionais coordenadas. Sob o guarda-chuva da chamada "Operação Aether" — uma acção conjunta que envolveu várias agências europeias e a Eurojust — as autoridades prenderam suspeitos em vários países, apreendidos servidores e dispositivos e notificado a centenas de empresas sobre riscos concretos. A Europol explicou que estas intervenções incluíram detenções na Polónia e a apreensão de infra-estruturas em Fevereiro de 2025, bem como detenções relacionadas com a Itália em anos anteriores segundo a Europol. Estas acções mostram que, embora as bandas operem transnacionalmente, a cooperação entre os promotores e as forças de segurança pode desestruturar as suas operações.

Do ponto de vista económico, o esquema é simples mas eficaz: as afiliações permitiam a operadores menos sofisticados pagar uma tarifa por implantação — a acusação menciona pagamentos de cerca de 300 dólares por chave de decifração após uma infecção — e, em paralelo, os administradores coletavam fracções dos resgates realizados pelas vítimas. A utilização de criptomoedas para canalizar esses pagamentos compôs inicialmente a rastreabilidade, mas os pesquisadores conseguiram seguir o rastro de transferências entre carteiras até dar com padrões repetitivos que vinculam administradores e afiliados.

Para além dos números e das detenções, há consequências humanas e operacionais. Centros sanitários, escolas e organismos públicos aparecem entre as vítimas descritas pelas pesquisas. Para essas organizações, a interrupção não é apenas uma perda econômica imediata: a impossibilidade de acessar histórias clínicas, processos ou sistemas administrativos gera risco real para pessoas e funções críticas. O impacto reputacional e os custos de recuperação — o estabelecimento de sistemas, auditorias forenses e reforço de defesas — tendem a multiplicar o montante do resgate pago ou reclamado.

A imputação pública contra Ptitsyn e as medidas de desmantelamento de infra-estruturas são um lembrete de que a ofensiva contra as redes criminosas passa por duas frentes: por um lado, a melhoria sustentada da ciberdefesa por empresas e administrações; por outro, a investigação internacional que persegue os operadores e bloqueia os seus canais de monetização. Organizações especializadas em incidentes e meios do sector cobriram o caso em pormenor e contexto técnico como Bleeping Computer, fornecendo peças adicionais sobre a cronologia e o alcance.

Para profissionais e responsáveis pela segurança, as lições são claras: a higiene de credenciais, a segmentação de redes, cópias de segurança periódicas e testadas, e a autenticação multifator são medidas que reduzem a superfície de ataque e a possibilidade de um acesso inicial se tornar uma crise. Ao mesmo tempo, a cooperação público-privada em detecção e resposta precoce facilita a possibilidade de alertar potenciais vítimas antes de o dano ser maciço, tal como assinalaram as autoridades envolvidas nas operações contra Phobos.

O caso também levanta questões sobre a eficácia a longo prazo de modelos RaaS: a facilidade com que a violência digital é externalizada e a rentabilidade do crime encriptam o problema após camadas de anonimato e serviços. No entanto, as detenções e as apreensãos demonstram que esses modelos não são imunes à investigação forense e à ação legal coordenada. O acórdão previsto para o administrador preso, fixado para Julho, será outro capítulo na resposta judicial a estas operações.

Se você quer rever as fontes originais e aprofundar, os documentos do caso e as notas dos organismos envolvidos estão disponíveis publicamente: os detalhes judiciais que acompanham a acusação podem ser consultados no processo publicado, a análise técnica sobre a estrutura de Phobos está no blog Cisco Talos, e a Europol fornece informações sobre a coordenação internacional seus comunicados. Estas leituras ajudam a entender tanto o mecanismo técnico como a resposta coletiva necessária para conter ameaças dessa natureza.