サイバー犯罪サプライチェーンに大打撃：国際作戦「Operation Endgame」がマルウェア基盤を崩壊

標的となったサイバー犯罪エコシステム

• SocGholish: 侵害されたウェブサイトに悪質なJavaScriptを注入する、広く使われるマルウェアローダー。ランサムウェアグループへの初期アクセスを提供する「ブローカー」として機能 。
• Amadey: ボットネット兼ローダー。StealCなどの第2段階ペイロードを感染端末に配信 。
• StealC: 「サービスとしての情報窃取（Infostealer as a Service）」として販売され、認証情報やデータを盗み出す 。

これらのマルウェアは、ロシア語圏のサイバー犯罪グループ「Evil Corp」など、複数のランサムウェア関連組織によって使用されていました 。

関与した組織・企業

• 法執行機関: カナダ、デンマーク、ドイツ、オランダ、英国、米国、ユーロポール（Europol）、ユーロジャスト（Eurojust） 。
• 民間パートナー: Microsoft（デジタル犯罪対策部門DCU）、Bitdefender、IBM X-Force、Proofpoint、Infoblox、Shadowserver Foundation、Orange Cyberdefense、Bitsight、ESET 。

Microsoftは独自に、裁判所命令に基づき200以上のC2（指令）サーバのドメインとIPアドレスを停止。約1万8000台の感染端末を特定し、通信事業者と連携した保護措置を開始しました 。また、米フロリダ州連邦地裁に対して、マルウェア運営者とそのアフィリエイトを相手取った訴訟も提起しています 。

戦略的意義：ランサムウェアの「仮想感染連鎖」を断つ

Operation Endgameのこのフェーズは、サイバー犯罪の「組み立てライン」 を一度に破壊することを目的としています。SocGholish、Amadey、StealCという3つの異なるが連鎖するツールを同時に標的にすることで、法執行機関はランサムウェア攻撃の入口（Initial Access）を担うインフラを無力化しました 。

ユーロポールはこれを「サイバー犯罪ネットワークへの画期的な打撃」と評価し、犯罪バリューチェーン全体を弱体化させたとしています 。このアプローチは、感染がランサムウェアの展開に至る前の段階で阻止する「予防的摘発」のモデルとして、今後のサイバー犯罪対策の先例となる可能性があります。

数値に関する補足

BKAのリリースは「320台超のサーバと140件超のドメイン」と報告しているのに対し 、他のソースは正確に「326台のサーバと142件のドメイン」と報じています 。このわずかな差異は丸め処理によるもので、作戦の規模に実質的な影響はありません。