Notícia
Austrália invade o painel do criminoso e desconecta 180 mil computadores infectados
Rodrigo ColissiIntrodução
A Australian Signals Directorate (ASD) — a agência de inteligência de sinais e segurança cibernética da Austrália (o equivalente australiano da NSA americana, com mandato também de defesa cibernética) — obteve acesso ao painel de controle de um criminoso que operava o malware Amadey e desconectou aquele controlador de 180 mil computadores infectados ao redor do mundo, incluindo máquinas dentro da própria Austrália.
A confirmação é de Tauri Gregory, diretor-adjunto interino de inteligência da ASD, em entrevista à ABC News publicada em 27 de outubro de 2026: "os próximos passos que tomamos foram desconectar aquele controlador Amadey de todas aquelas vítimas".
É um caso raro, e vale entender por quê: aqui uma agência estatal não entrou para espionar nem para se defender de um alvo específico. Entrou para tirar de circulação criminosos que já estavam dentro das casas de terceiros, sem que as vítimas tivessem sequer pedido ajuda. As operações cibernéticas ofensivas da ASD exigem aprovação explícita do governo australiano e podem desativar infraestrutura criminosa no exterior — o que é exatamente o que aconteceu.
E logo abaixo vem a segunda parte, que talvez seja a mais curiosa das duas.
O que a ASD fez, em concreto
A operação cortou o elo mais importante de uma cadeia criminosa: o servidor de comando e controle (a central que dá ordens às máquinas infectadas). Sem ele, o criminoso perde o comando sobre 180 mil computadores de uma vez — não é preciso limpar máquina por máquina, basta puxar o cabo na ponta dele.
Há um detalhe que dá a medida do que foi feito: a vítima não precisa saber que foi atacada, nem participar de nada. A agência entrou, agiu e as máquinas simplesmente deixaram de receber ordens.
O relatório anual de ameaças da ASD, publicado no mesmo dia, não descreve a operação — o que é esperado em ação desse tipo.
E o próprio Gregory deu a dimensão do que estava em jogo se nada tivesse sido feito: "se a ASD não tivesse agido aqui, você teria 180 mil empresas ou pessoas cujos dados estavam sendo roubados e sendo vendidos na dark web, ou monetizados de outras formas, ou usados para alimentar crimes derivados, como fraude e roubo de identidade".
A segunda operação: 5 TB destruídos antes de chegarem ao mercado
Na mesma divulgação, a ASD relatou um caso separado, e é o que dá o tom da história.
A agência recebeu a informação de que 5 TB de dados roubados estavam à venda — documentos corporativos, dados pessoais e, principalmente, credenciais e senhas de login. O problema: a empresa dona dos dados não sabia que havia sido invadida. Ninguém tinha pedido nada, ninguém tinha detectado nada.
A ASD entrou e destruiu os dados antes que fossem negociados. Segundo a agência, os arquivos eliminados incluíam cerca de 4,8 milhões de registros de australianos e centenas de milhares de registros de vítimas em outros países.
Ou seja: em vez de esperar o vazamento público para então correr atrás, a agência agiu no meio do caminho — entre o roubo e a venda, que é justamente a janela em que a extorsão costuma ser montada.
Como o Amadey chega até a vítima
O Amadey é vendido como malware-as-a-service (malware como serviço: o autor da ferramenta vende o acesso, outros criminosos fazem o trabalho) desde 2018, por um ator conhecido como "InCrease" em um fórum de língua russa chamado exploit[.]in. Ele está catalogado no MITRE ATT&CK como S1025 e funciona como um loader modular — a função principal dele não é roubar nada diretamente, e sim instalar outros malwares por cima.
O fluxo é sempre o mesmo, e é isso que torna o Amadey tão eficiente:
Cadeia de infecção do Amadey
O ponto que costuma passar batido está no último nó. A infecção não termina quando o malware é removido: o que foi roubado continua valendo e pode ser explorado muito depois, sem precisar de um novo malware na máquina.
As vias de entrada mais comuns, segundo a própria análise do ecossistema, são falsas atualizações de software, instaladores de programas piratas e outros loaders — ou seja, o caminho que depende do usuário clicar, não de uma falha técnica explorada remotamente.
Por que derrubar uma botnet não resolve o problema
Aqui está a parte que costuma ser omitida nas comemorações de operações policiais.
O Amadey é vendido como serviço, e cada comprador roda o próprio painel de controle, nos próprios servidores. Isso significa que não existe "a botnet Amadey" — existem várias, isoladas umas das outras. A ESET mapeou 53 botnets Amadey distintas que não compartilham infraestrutura.
O que a ASD fez foi cortar uma dessas 53. As outras 52 continuaram operando, com os mesmos clientes, as mesmas vítimas e as mesmas técnicas. E não foi a primeira vez: a Operation Endgame (operação internacional de law enforcement contra infraestrutura de malware), que reúne nove países e parceiros privados, já havia atingido servidores ligados ao Amadey, ao StealC e ao SocGholish entre 15 e 19 de junho de 2026.
Vale ser preciso sobre o que isso é e o que não é: a Austrália é um dos nove países que rodam a Operation Endgame em conjunto, segundo a Europol — mas não consta na lista de países que participaram da semana de ação de junho, e o anúncio da Europol não menciona a ASD. São duas operações diferentes, e juntá-las numa frase só seria impreciso.
Cinco anos de Amadey, duas ofensivas
A história do malware explica por que ele continua rentável depois de tanto tempo:
O que a desconexão não desfaz
É a parte honesta da história, e a análise da Microsoft sobre esse ecossistema é bem direta: desconectar um controlador não desfaz o roubo que já aconteceu.
| O que a operação resolveu | O que continua em risco |
|---|---|
| 180 mil máquinas param de receber ordens daquele painel | As credenciais já roubadas dessas máquinas continuam circulando |
| O criminoso perde o comando daquele conjunto de vítimas | As outras 52 botnets Amadey seguem ativas |
| O malware para de baixar novas cargas naquela rede | Um cookie de sessão roubado ainda pode burlar a MFA |
| Um canal de extorsão foi interrompido | As senhas reaproveitadas continuam válidas em outros serviços |
A razão é simples: credencial roubada por infostealer pode ficar meses parada antes de ser usada, segundo a Microsoft. O atacante não precisa ter pressa — ele tem o acesso guardado. E um cookie de sessão roubado permite entrar numa conta já autenticada, contornando a autenticação multifator (MFA, a segunda etapa de verificação além da senha) sem quebrar nada.
Como se proteger
Não reaproveite senhas entre serviços. Se o infostealer levou a senha do seu e-mail corporativo e é a mesma do banco, o dano da infecção continua sendo cobrado anos depois. O gerenciador de senhas existe justamente para tornar cada credencial única.
Trocar a senha não basta — revogue as sessões. Este é o passo que quase todo mundo pula. Se a máquina foi infectada, encerre as sessões ativas de cada conta relevante (nos provedores isso costuma aparecer como "sair de todos os dispositivos" ou "revogar sessões"). Sem isso, o cookie roubado mantém o invasor dentro da conta mesmo depois da troca de senha.
Prefira MFA resistente a phishing. Códigos por SMS, e-mail ou aplicativo podem ser interceptados ou contornados com um cookie de sessão válido. Chaves físicas de segurança e passkeys (credenciais vinculadas ao dispositivo, sem senha para vazar) fecham essa porta de forma muito mais sólida.
Trate atualização falsa como o vetor que ele é. Se a atualização chegou por anúncio, pop-up, e-mail ou link de resultado de busca, ela não é do fabricante. Vá direto ao site oficial — e desconfie de qualquer "aviso urgente" que exija ação imediata.
Assuma que software pirata vem com acompanhante. Instaladores crackeados são uma das principais portas de entrada do Amadey. O custo da licença não é comparável ao de uma credencial corporativa vazada.
Aproveite a nova geração de MFA sem senha. Migrar para passkey reduz drasticamente o valor do que um infostealer consegue roubar — sem senha armazenada, não há senha para vazar.
Conclusão
A operação da ASD é o tipo de ação que merece ser contada com precisão, porque é fácil transformá-la em propaganda. O que aconteceu, de fato, foi isto: uma agência estatal entrou no painel de um criminoso e cortou o acesso dele a 180 mil computadores, num dos raros casos em que ação ofensiva de Estado foi usada para proteger pessoas que nunca souberam que precisavam de proteção.
E a segunda parte é, talvez, mais relevante para o leitor comum: a agência encontrou 5 TB roubados de uma empresa que não sabia estar invadida e destruiu os dados antes da venda, eliminando cerca de 4,8 milhões de registros de australianos. É a diferença entre descobrir um vazamento no noticiário e impedir que ele exista.
Ao mesmo tempo, a matéria precisa registrar o que não foi resolvido. O Amadey continua sendo vendido como serviço desde 2018, com 53 botnets independentes — a ASD desligou uma. E as credenciais roubadas das vítimas daquela botnet já estão em circulação, podendo ser usadas meses depois sem precisar de nenhum malware novo na máquina.
Para quem opera sistemas, a lição prática é chata e inescapável: a resposta ao incidente não termina quando o malware é removido. Enquanto as credenciais roubadas e as sessões ativas não forem revogadas, a invasão continua válida — mesmo que a máquina pareça limpa.
Perguntas frequentes
O que exatamente a ASD fez na operação?
Obteve acesso ao painel de controle (o servidor de comando e controle) de um criminoso que operava o malware Amadey e desconectou aquele controlador de cerca de 180 mil computadores infectados no mundo, incluindo máquinas na Austrália. A informação foi confirmada por Tauri Gregory, diretor-adjunto interino de inteligência da ASD, em entrevista à ABC News publicada em 27 de outubro de 2026.
Isso significa que as 180 mil máquinas estão limpas?
Não. Elas pararam de receber ordens daquele painel — o que é muito diferente de estarem limpas. O malware ou o que ele instalou pode continuar presente, e o que foi roubado daquelas máquinas continua nas mãos dos criminosos. Quem foi vítima precisa remover o malware e, principalmente, revogar credenciais e sessões.
Por que derrubar um controlador não acaba com a botnet?
Porque o Amadey é vendido como serviço e cada comprador roda o próprio painel nos próprios servidores. Não existe uma botnet única: a ESET mapeou 53 botnets Amadey distintas que não compartilham infraestrutura. A operação cortou uma delas; as outras continuaram operando normalmente.
O que a ASD fez com os 5 TB de dados roubados?
A agência recebeu a informação de que cerca de 5 TB de dados roubados estavam à venda por criminosos, sendo que a empresa dona dos dados não sabia que havia sido invadida. A ASD obteve acesso e destruiu os arquivos antes que fossem vendidos. O conteúdo incluía documentos corporativos, dados pessoais e credenciais e senhas de login, somando cerca de 4,8 milhões de registros de australianos e centenas de milhares de vítimas em outros países.
O Amadey é um vírus que infecta sozinho?
Não, ele depende de ação do usuário. As vias mais comuns são falsas atualizações de software, instaladores de programas piratas e outros loaders de malware. Ou seja: quem foi infectado quase sempre abriu ou executou algo. Não é um ataque que explora uma falha técnica sem intervenção da vítima.
Já troquei a senha. Estou seguro?
Provavelmente não. Um cookie de sessão roubado permite entrar numa conta já autenticada e pode burlar a autenticação multifator (MFA), continuando válido mesmo depois da troca de senha. O passo correto é trocar a senha e encerrar todas as sessões ativas, revogando o acesso em "sair de todos os dispositivos" ou opção equivalente de cada serviço relevante.
Qual MFA realmente protege contra roubo de credenciais?
Métodos vinculados ao dispositivo, como chaves físicas de segurança e passkeys, são muito mais resistentes do que códigos enviados por SMS, e-mail ou aplicativo, justamente porque não geram um segredo que possa ser copiado e reaproveitado. Passkeys têm o bônus de eliminar a senha armazenada — se não existe senha guardada, não há senha para um infostealer levar.
Essa operação da ASD tem relação com a Operation Endgame de junho?
Não. São duas coisas diferentes. A Operation Endgame é uma ação internacional de law enforcement que, entre 15 e 19 de junho de 2026, atingiu servidores associados ao Amadey, ao StealC e ao SocGholish, com a participação de nove países. A Austrália integra o grupo de países da operação, segundo a Europol, mas não consta na lista de participantes da semana de ação de junho, e o anúncio da Europol não menciona a ASD. A ação de 27 de outubro foi conduzida pela própria ASD.
Fontes e leituras adicionais
- The Hacker News — Australia Gets Into Amadey Malware Backend, Cuts Off Access to 180,000 Infected Computers — 27/10/2026
- ABC News — Disruptions 'inevitable' as AI-powered cyber threats grow, Australian Signals Directorate says — 27/10/2026
- ESET / WeLiveSecurity — ESET takes part in Operation Endgame to disrupt Amadey and Stealc — 2026
- Microsoft Security Blog — StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them — 24/06/2026
- Bitsight — Bitsight Aids Disruption Efforts on Amadey & StealC Malware — 2026
- MITRE ATT&CK — S1025 · Amadey — 2026
- Australian Signals Directorate — Site oficial da ASD — 2026
- Europol — Operation Endgame — 2026