Operace Endgame: Masivní úder na infrastrukturu malwaru SocGholish, Amadey a StealC

Cílený kyberzločinecký ekosystém

• SocGholish – Tento malware loader je jedním z nejrozšířenějších nástrojů pro prvotní přístup. Funguje tak, že do kompromitovaných webových stránek (často běžících na WordPressu) vloží škodlivý JavaScript. Návštěvníci jsou pak přesměrováni na falešné aktualizace prohlížeče, které ve skutečnosti stahují další malware. SocGholish je dlouhodobě oblíbeným nástrojem skupin jako Evil Corp .
• Amadey – Tento botnet a loader slouží k doručování dalších škodlivých programů, včetně StealC .
• StealC – Infostealer prodávaný jako služba (MaaS – Malware-as-a-Service). Jeho úkolem je krást přihlašovací údaje, cookies a další citlivá data z infikovaných počítačů .

Partneři operace

Do operace se zapojila široká koalice donucovacích orgánů a soukromých společností:

• Donucovací orgány: Kanada, Dánsko, Německo, Nizozemsko, Spojené království, Spojené státy, Europol a Eurojust .
• Soukromý sektor: Microsoft, Bitdefender, IBM X-Force, Proofpoint, Infoblox, Shadowserver Foundation, Orange Cyberdefense, Bitsight a ESET .

Strategický význam

Operace Endgame znamená zásadní posun v taktice boje proti kyberkriminalitě. Místo honby za jednotlivými ransomware skupinami se nyní orgány činné v trestním řízení zaměřují na samotný základ kriminálního dodavatelského řetězce. Loadery, infostealery a brokeři prvotního přístupu jsou totiž tím, co umožňuje masové kompromitace. Společným úderem na SocGholish, Amadey a StealC byla přerušena doručovací mechanika, na kterou spoléhá celá řada ransomware affiliate partnerů. Europol tuto akci označil za „historickou ránu kyberzločineckým sítím" a zdůraznil, že oslabuje celý kriminální hodnotový řetězec .

Poznámka k nepatrnému rozporu v číslech

Zatímco některé zdroje uvádějí přesný počet 326 serverů a 142 domén , tisková zpráva BKA uvádí zaokrouhlená čísla „přes 320 serverů a více než 140 domén" . Tento rozdíl je dán zaokrouhlením a nijak nemění rozsah ani význam celé operace.