Die Agentur der Europäischen Union für die Zusammenarbeit auf dem Gebiet der Strafverfolgung (Europol) hat den Erfolg einer großen internationalen Operation bekannt gegeben, die zur Zerschlagung der Infrastruktur von drei der derzeit gefährlichsten Schadsoftware-Familien führte: Gootloader, CastleRAT und StealC. Die Operation führte zur Beschlagnahme von 257 Domains und 235 Servern, die zur Steuerung von Cyberangriffen und zur Speicherung von Daten verwendet wurden, die von Millionen von Opfern weltweit gestohlen worden waren.
Die anvisierten Schadprogramme gehören zu den grundlegenden Werkzeugen im Arsenal der Cyberkriminalität; Gootloader fungiert seit 2020 als Loader für Schadsoftware, während sich StealC auf den Diebstahl sensibler Daten wie Passwörtern und Kryptowährungs-Wallets spezialisiert hat. CastleRAT hingegen ist ein Trojaner für den Fernzugriff (RAT), der im vergangenen Jahr auftauchte und Angreifern die vollständige Kontrolle über infizierte Geräte ermöglicht. Diese Schadprogramme stehen in enger Verbindung mit globalen Ransomware-Gangs.
Details zu Operation Endgame
Dieser Schlag erfolgt im Rahmen von „Operation Endgame“, einer fortlaufenden internationalen Anstrengung, die auf Netzwerke des Modells „Cybercrime-as-a-Service“ abzielt. An dieser Phase waren Strafverfolgungsbehörden aus neun Ländern beteiligt – darunter die Vereinigten Staaten, das Vereinigte Königreich, Deutschland, die Niederlande, Polen, Dänemark, Bulgarien, Kanada und Moldau – unter der direkten Koordination von Europol und Eurojust.
Die Behörden gaben bekannt, dass innerhalb der kriminellen Infrastruktur 6,4 Millionen gestohlene Datensätze gefunden wurden. Diese umfassten Zugangsdaten und Passwörter, die aus infizierten Systemen extrahiert worden waren, um sie zu verkaufen oder bei späteren Angriffen zu verwenden. Um den Schaden zu begrenzen, werden diese Daten über spezialisierte Plattformen wie HaveIBeenPwned, DIVD und NoMoreLeaks zur Verfügung gestellt, um Opfer zu warnen und ihre betroffenen Konten abzusichern.
Was ändert sich praktisch nach dieser Zerschlagung?
Diese Operation stellt einen strategischen Wandel im Kampf gegen die organisierte Digitalkriminalität dar, bei dem sich die Behörden nicht nur auf die Verfolgung von Einzelpersonen beschränken, sondern sich darauf konzentrieren, die „technischen Vermögenswerte“ zu zerstören, auf die diese Banden angewiesen sind. Die Abschaltung von 235 Servern bedeutet die Lahmlegung der Fähigkeit von Angreifern, mit derzeit infizierten Geräten zu kommunizieren, was Unternehmen und Benutzern ein Zeitfenster zur Absicherung ihrer Systeme verschafft, bevor Kriminelle ihre Infrastruktur wiederaufbauen können.
Dieser Schlag war nicht der erste im Rahmen von „Operation Endgame“; bereits im Juni wurden fast 15.000 infizierte WordPress-Websites bereinigt und Server beschlagnahmt, die mit der russischen Gruppe „Evil Corp“ in Verbindung standen. Auch frühere Phasen zielten auf bekannte Schadsoftware wie IcedID, Trickbot und Smokeloader ab, was den internationalen Entschluss widerspiegelt, den Quellen dieser Angriffe die Grundlage zu entziehen.
Sicherheitsempfehlungen für Benutzer und Unternehmen
Basierend auf den technischen Erkenntnissen der Operation empfehlen Experten die Ergreifung der folgenden Schritte:
- Absicherung von Content-Plattformen: WordPress-Benutzer sollten ihre Zugangsdaten sofort aktualisieren, die Multifaktor-Authentifizierung (MFA) aktivieren und Sicherheitslücken in Plugins und Themes schließen.
- Überprüfung auf Datenlecks: Es wird empfohlen, die in der Operation genannten vertrauenswürdigen Plattformen zu nutzen, um zu überprüfen, ob sich Ihre persönlichen Daten unter den 6,4 Millionen wiederhergestellten Datensätzen befinden.
- Aktualisierung von Verteidigungssystemen: Schadsoftware wie StealC stützt sich weiterhin auf bekannte Software-Schwachstellen zur Verbreitung. Daher bleibt die regelmäßige Aktualisierung von Systemen die erste und wichtigste Verteidigungslinie.