In einer groß angelegten internationalen Operation namens "Operation Endgame" ist es Strafverfolgungsbehörden in den USA, Europa, Australien und Kanada gelungen, die Infrastruktur von drei der gefährlichsten Malware-Familien zu beschlagnahmen: Gootloader, CastleRAT und StealC. Die Operation führte zur Sicherstellung von 235 Servern und 257 Domains sowie zur Wiederherstellung von 6,4 Millionen Sätzen an Opfer-Zugangsdaten.
Diese Schadprogramme basieren auf dem Modell "Cybercrime-as-a-Service", bei dem sie zur Erleichterung von Ransomware-Angriffen und großflächigem Datendiebstahl über komplexe Vertriebsnetzwerke eingesetzt werden.
Details zu den betroffenen Schadprogrammen
- Gootloader: Diese Malware fungiert seit 2018 als Dropper für andere Schadprogramme, einschließlich Ransomware. Sie nutzt kompromittierte Websites, die gefälschte juristische Dokumente enthalten, um Infektionen zu verbreiten. Laut dem US-Justizministerium hat diese Malware mehr als 25.000 Geräte infiziert, was in den USA zu Schäden in Höhe von etwa 28,8 Millionen Dollar führte. Die jüngste Operation führte zur Entfernung der Malware von 100 Servern; zudem beschlagnahmte Europol 14 Server und 218 damit verbundene Domains und bereinigte 681 infizierte Websites.
- CastleRAT: Dieser Remote Access Trojan (RAT), der mindestens seit 2025 aktiv ist, gewährt Angreifern die vollständige Kontrolle über infizierte Geräte, um diese zur Dateiverschlüsselung und für Lösegeldforderungen zu nutzen. Die Razzien führten zur Beschlagnahmung von 120 Servern und 39 Domains sowie zur Sicherstellung von Daten, die 180.000 E-Mail-Adressen und 893.000 eindeutige Passwörter umfassen.
- StealC: Diese Malware fungiert als Datendiebstahl-Tool (Stealer) und Dropper und konzentriert sich primär auf den Diebstahl von Passwörtern und Identitäten. Im Rahmen dieser Kampagne wurden 102 zugehörige Server deaktiviert.
Was ändert sich in der Praxis?
Die Bedeutung dieser Operation liegt darin, die kriminellen "Lieferketten" zu treffen; anstatt nur eine einzelne Malware zu stoppen, zielten die Behörden auf die Infrastruktur ab, die es Kriminellen ermöglicht, Daten zu verkaufen und für nachfolgende Angriffe zu nutzen. Zudem stärkt die Weitergabe der 6,4 Millionen gestohlenen Zugangsdaten an Sicherheitsorganisationen wie HaveIBeenPwned und The Shadowserver Foundation die Fähigkeit der technischen Gemeinschaft, Nutzer zu schützen und sie zu warnen, bevor ihre gestohlenen Daten in neuen Ransomware-Angriffen missbraucht werden.