"Operation Endgame" olarak bilinen geniş kapsamlı uluslararası bir operasyonda, Amerika Birleşik Devletleri, Avrupa, Avustralya ve Kanada'daki kolluk kuvvetleri, en tehlikeli üç kötü amaçlı yazılım ailesinin altyapısına el koymayı başardı: Gootloader, CastleRAT ve StealC. Operasyon sonucunda 235 sunucu ve 257 alan adı (Domain) ele geçirilirken, kurbanlara ait 6,4 milyon kimlik bilgisi seti geri kazanıldı.
Bu yazılımlar, fidye yazılımı saldırılarını ve karmaşık dağıtım ağları aracılığıyla büyük ölçekli veri hırsızlığını kolaylaştırmak için kullanılan "Hizmet Olarak Siber Suç" (Cybercrime-as-a-Service) modeline dayanmaktadır.
Hedeflenen yazılımların detayları
- Gootloader: Bu yazılım, 2018'den beri fidye yazılımları da dahil olmak üzere diğer kötü amaçlı yazılımlar için bir yükleyici (Dropper) olarak faaliyet göstermektedir. Enfeksiyonlarını yaymak için sahte yasal belgeler içeren ele geçirilmiş web sitelerini kullanır. ABD Adalet Bakanlığı'na göre, bu yazılım 25 binden fazla cihazın enfekte olmasına neden olmuş ve ABD'de yaklaşık 28,8 milyon dolarlık zarara yol açmıştır. Son operasyon, yazılımı 100 sunucudan kaldırmış, Europol ise bununla bağlantılı 14 sunucu ve 218 alan adına el koymuş, ayrıca enfekte olmuş 681 web sitesini temizlemiştir.
- CastleRAT: En az 2025'ten beri aktif olan bu uzaktan erişim truva atı (RAT), saldırganlara dosyaları şifrelemek ve fidye talep etmek için enfekte cihazlar üzerinde tam kontrol sağlamaktadır. Baskınlar sonucunda 120 sunucu ve 39 alan adına el konulmuş, 180 bin e-posta adresi ve 893 bin benzersiz şifreyi içeren veriler geri alınmıştır.
- StealC: Bu yazılım, bir veri hırsızı (Stealer) ve yükleyici (Dropper) olarak işlev görmekte olup, temel olarak şifre ve kimlik hırsızlığına odaklanmaktadır. Bu kampanya kapsamında kendisine ait 102 sunucu devre dışı bırakılmıştır.
Pratikte ne değişiyor?
Bu operasyonun önemi, suç "tedarik zincirlerini" vurmasında yatmaktadır; yetkililer sadece tek bir yazılımı durdurmak yerine, suçluların verileri satmasına ve sonraki saldırılarda kullanmasına olanak tanıyan altyapıyı hedef almıştır. Ayrıca, çalınan 6,4 milyon kimlik bilgisinin HaveIBeenPwned ve The Shadowserver Foundation gibi güvenlik kuruluşlarıyla paylaşılması, teknik topluluğun kullanıcıları koruma ve verileri yeni fidye yazılımı saldırılarında kullanılmadan önce uyarma kapasitesini artırmaktadır.