Potężny cios w cyberprzestępczość: Operacja Endgame rozbija kluczową infrastrukturę malware

W dniach 15–19 czerwca 2026 roku, w ramach Operacji Endgame, rozbito kryminalną infrastrukturę stojącą za loaderem malware SocGholish, botnetem Amadey oraz infostealerem StealC – uderzając w wczesne ogniwa łańcucha dostaw, które umożliwiają masowe ataki ransomware i kradzież danych.

Kluczowe rezultaty operacji

• 326 serwerów unieszkodliwionych i 142 domeny przejęte w ramach operacji . Niemieckie BKA podaje podobne liczby: „ponad 320 serwerów i ponad 140 domen” .
• Oczyszczono prawie 15 000 stron internetowych w ramach działań wymierzonych w SocGholish .
• Zidentyfikowano, oznaczono i zamrożono kryptowaluty o wartości ponad 41 mln euro / 47 mln dolarów .
• Odzyskano 27 mln skradzionych danych logowania od ponad 385 000 ofiar .
• Ponad 140 000 zainfekowanych komputerów powiązanych z Amadey i StealC odnotowano tylko na początku maja 2026 roku .

Cele operacji – ekosystem cyberprzestępczy

• SocGholish – szeroko stosowany loader malware, który wstrzykuje złośliwy JavaScript do zainfekowanych stron internetowych, działając jako broker wstępnego dostępu dla grup ransomware .
• Amadey – botnet i loader, który dostarcza dodatkowe ładunki, w tym StealC .
• StealC – infostealer (program kradnący dane) oferowany jako usługa, służący do kradzieży danych logowania i innych poufnych informacji .

Partnerzy operacji

• Organy ścigania: Kanada, Dania, Niemcy, Holandia, Wielka Brytania, Stany Zjednoczone, Europol i Eurojust .
• Partnerzy z sektora prywatnego: Microsoft, Bitdefender, IBM X-Force, Proofpoint, Infoblox, Shadowserver Foundation, Orange Cyberdefense, Bitsight i ESET .

Znaczenie strategiczne

Operacja ta oznacza wyraźne odejście od ścigania pojedynczych grup ransomware na rzecz zakłócania łańcucha dostaw cyberprzestępczości u samych podstaw – loaderów, infostealerów i brokerów wstępnego dostępu, którzy umożliwiają masowe kompromitacje. Uderzając jednocześnie w SocGholish, Amadey i StealC, organy ścigania przerwały mechanizmy dostarczania, od których zależy wiele afiliowanych grup ransomware, zrywając „wirtualny łańcuch infekcji” i zapobiegając dalszym infekcjom ofiar, zanim ransomware w ogóle zostanie wdrożone . Europol określa to jako „miażdżący cios dla sieci cyberprzestępczych”, który osłabia cały kryminalny łańcuch wartości .

Drobna rozbieżność w danych

Raport BKA podaje zaokrąglone wartości: „ponad 320 serwerów i ponad 140 domen” , podczas gdy inne źródła podają dokładnie 326 serwerów i 142 domeny . Różnice te wynikają z zaokrągleń i nie zmieniają znacząco skali przeprowadzonej operacji.