В ходе масштабной международной операции, известной как "Operation Endgame", правоохранительные органы США, Европы, Австралии и Канады смогли конфисковать инфраструктуру трех наиболее опасных семейств вредоносного ПО: Gootloader, CastleRAT и StealC. Операция привела к изъятию 235 серверов и 257 доменов, а также к восстановлению 6,4 миллиона наборов учетных данных жертв.
Данное вредоносное ПО опирается на модель "киберпреступность как услуга" (Cybercrime-as-a-Service), используя сложные сети распространения для облегчения атак программ-вымогателей и масштабных краж данных.
Детали целевого вредоносного ПО
- Gootloader: Это вредоносное ПО работает с 2018 года в качестве загрузчика (Dropper) для других программ, включая программы-вымогатели. Оно использует взломанные веб-сайты с поддельными юридическими документами для распространения инфекций. Согласно Министерству юстиции США, это ПО заразило более 25 тысяч устройств, нанеся США ущерб в размере около 28,8 миллиона долларов. Последняя операция привела к удалению вредоносного ПО со 100 серверов, а Европол (Europol) изъял 14 серверов и 218 связанных с ним доменов, очистив 681 зараженный веб-сайт.
- CastleRAT: Этот троян удаленного доступа (RAT), активный как минимум с 2025 года, предоставляет злоумышленникам полный контроль над зараженными устройствами для шифрования файлов и вымогательства. Рейды привели к конфискации 120 серверов и 39 доменов, а также к извлечению данных, включающих 180 тысяч адресов электронной почты и 893 тысячи уникальных паролей.
- StealC: Это вредоносное ПО работает как инструмент для кражи данных (Stealer) и загрузчик (Dropper), фокусируясь в основном на краже паролей и личных данных. В рамках данной кампании было отключено 102 сервера, связанных с ним.
Что меняется на практике?
Важность этой операции заключается в нанесении удара по преступным "цепочкам поставок"; вместо того чтобы просто остановить одну программу, власти нацелились на инфраструктуру, которая позволяет преступникам продавать данные и использовать их в последующих атаках. Кроме того, обмен 6,4 миллионами украденных учетных данных с такими организациями безопасности, как HaveIBeenPwned и The Shadowserver Foundation, повышает способность технического сообщества защищать пользователей и предупреждать их до того, как их украденные данные будут использованы в новых атаках программ-вымогателей.