Endgame: Ermittler legen Gootloader und StealC lahm

Strafverfolgungsbehörden aus neun Ländern haben im Rahmen der internationalen Operation Endgame die Infrastruktur der Schadprogramme Gootloader, CastleRAT und StealC zerschlagen. Beteiligt waren Behörden aus Bulgarien, Dänemark, Deutschland, Kanada, Moldau, den Niederlanden, Polen, Großbritannien und den USA. Koordiniert wurde die Aktion von Europol und der EU-Justizbehörde Eurojust. Gemeinsam mit privaten Partnern beschlagnahmten oder blockierten die Ermittler 257 Domains und 235 Server.

Gootloader ist ein seit 2020 aktiver Malware-Loader, über den weitere Schadsoftware nachgeladen wird. StealC ist ein Infostealer, der Zugangsdaten, Krypto-Wallets und andere sensible Daten von infizierten Rechnern abgreift. CastleRAT ist ein Fernzugriffstrojaner, der im vergangenen Jahr aufgetaucht ist. Alle drei Programme wurden von verschiedenen kriminellen Gruppen eingesetzt, darunter Ransomware-Banden.

Millionen gestohlene Zugangsdaten

Auf der beschlagnahmten Infrastruktur fanden die Ermittler 6,4 Millionen Datensätze von Opfern, darunter mehr als 6 Millionen Zugangsdaten.

„Die Verdächtigen nutzten diese Zugangsdaten, die sie den Opfern nach deren Infektion gestohlen hatten, um sie zu verkaufen und später für weitere Cyberangriffe wie Ransomware einzusetzen.“
Europol

Die Daten sollen über mehrere Plattformen bereitgestellt werden, darunter Have I Been Pwned, das niederländische Institut DIVD, die Shadowserver Foundation und das niederländische Nationale Cybersicherheitszentrum. Betroffene, deren Zugangsdaten durch CastleRAT gestohlen wurden, sollen so gewarnt werden. Europol rät Betreibern von WordPress-Websites, ihre Zugangsdaten zu ändern, Multi-Faktor-Authentifizierung zu aktivieren und Sicherheitslücken zu schließen. Gootloader verbreitet sich häufig über kompromittierte WordPress-Seiten.

StealC bereits im Juni getroffen

StealC war bereits im Juni Ziel von Operation Endgame. Damals hatten die Behörden 326 Server und 142 Domains der Schadprogramme Amadey und StealC abgeschaltet und rund 27 Millionen Zugangsdaten von mehr als 385.000 infizierten Systemen sichergestellt. Im Oktober hatte das Sicherheitsunternehmen Varonis berichtet, dass der Verkäufer von StealC mit dem Fernzugriffstrojaner Stadia zurückgekehrt war, der den Code von StealC wiederverwendet. Ob die aktuelle Aktion auch Stadia betrifft, geht aus den Angaben nicht hervor.

Operation Endgame läuft seit 2024 und richtet sich gegen Anbieter von Cybercrime als Dienstleistung. Zuvor waren unter anderem die Botnetze und Loader Smokeloader, DanaBot, IcedID, Pikabot, Trickbot, Bumblebee, SystemBC, Rhadamanthys und SocGholish Ziel der Ermittler.

(red)