Operation Endgame beschlagnahmt 6,4 Millionen gestohlene Logins von Gootloader und StealC

Eine internationale Koalition aus Strafverfolgungsbehörden hat in dieser Woche die Operation Endgame durchgeführt und dabei die Infrastruktur hinter drei großen Malware-Familien zerschlagen: Gootloader, CastleRAT und StealC. Die Aktion führte zur Beschlagnahme von rund 6,4 Millionen gestohlenen Login-Daten, die mehr als 40.000 Opfern gehörten, sowie zur Stilllegung von Hunderten Servern und Domains, die zur Verbreitung dieser Bedrohungen genutzt wurden.

Was passiert ist

Die koordinierte Maßnahme richtete sich gegen die Backend-Systeme, die es Kriminellen ermöglichen, Computer zu infizieren, Daten zu stehlen und Ransomware einzusetzen. Laut dem Bundeskriminalamt (BKA) beschlagnahmten die Behörden im Rahmen der drei Malware-Aktionen 235 Server und 257 Domains. Europol unterstützte die Kampagne, die darauf abzielte, die Tools zu unterbrechen, mit denen Angreifer initialen Zugriff auf Netzwerke von Opfern erlangen.

Gootloader, ein Malware-Loader, der seit 2020 Millionen von Computern infiziert hat, war ein Hauptziel. Er verbreitet sich, indem er gefälschte Rechtsdokumente auf kompromittierten Websites platziert, oft WordPress-Installationen, und nutzt SEO-Poisoning, um diese Seiten hoch zu ranken. Sobald ein Benutzer das Dokument herunterlädt, installiert der Loader zusätzliche Malware, häufig Ransomware. Allein in den Vereinigten Staaten ermöglichte Gootloader Ransomware-Angriffe gegen mindestens 44 Opfer und verursachte Verluste in Höhe von etwa 28,8 Millionen US-Dollar. Während dieser Operation entfernte die Polizei Malware von 681 gehackten Websites und legte 14 Server sowie 218 Domains still, die mit der Gruppe in Verbindung standen.

Die Operation traf auch CastleRAT, einen 2025 identifizierten Remote Access Trojaner, und StealC, einen Infostealer, der zum Abfluss von Passwörtern entwickelt wurde. Die Behörden beschlagnahmten 120 Server und 39 Domains, die mit CastleRAT verknüpft waren. Die Infrastruktur von StealC wurde erneut getroffen, nachdem sie bereits im Juni unterbrochen worden war; die Betreiber hatten ihr Netzwerk unter Verwendung von Bulletproof-Hosting-Diensten wie Virtualine/Omegatech wieder aufgebaut, die selbst Ende Oktober stillgelegt wurden. Im Rahmen dieser spezifischen wöchentlichen Aktion wurden keine Festnahmen angekündigt, obwohl die niederländische Polizei ihre Ermittlungen gegen den Hauptsuspekt hinter Gootloader fortsetzt.

Wichtige Details

• Umfang des Diebstahls: Rund 6,4 Millionen gestohlene Logins von über 40.000 Opfern wurden von den Behörden sichergestellt.
• Entfernte Infrastruktur: Die Polizei legte 235 Server und 257 Domains im Rahmen der Gootloader-, CastleRAT- und StealC-Aktionen still.
• Auswirkung auf WordPress: Malware wurde von 681 gehackten Websites entfernt, bei denen es sich oft um WordPress-Seiten handelte, die für SEO-Poisoning mit gefälschten Rechtsdokumenten genutzt wurden.
• Finanzieller Schaden: In den USA verursachten ransomware-bezogene Angriffe im Zusammenhang mit Gootloader geschätzte Verluste in Höhe von 28,8 Millionen US-Dollar bei 44 bekannten Opfern.
• Wiederholungstäter: Die Betreiber von StealC bauten ihre Infrastruktur nach einer Stilllegung im Juni wieder auf und setzten dabei auf kriminell-freundliche Hosting-Anbieter, bevor diese letzte Unterbrechung erfolgte.
• Benachrichtigung der Opfer: Gestohlene Daten werden an Dienste wie Have I Been Pwned und die Shadowserver Foundation weitergegeben, um kompromittierte Konten zu identifizieren.

Hintergrund

Gootloader funktioniert als „Loader“, was bedeutet, dass seine primäre Funktion darin besteht, einen Fußabdruck auf dem Computer eines Opfers zu etablieren und dann andere schädliche Payloads herunterzuladen. Er verlässt sich stark auf „SEO-Poisoning“, eine Technik, bei der Angreifer Webseiten mit beliebten Suchbegriffen erstellen, damit diese oben in den Suchergebnissen erscheinen. Benutzer, die nach legitimen Formularen oder Software-Updates suchen, laden versehentlich die Malware herunter.

CastleRAT ist ein Remote Access Trojaner (RAT), der Angreifern die volle Kontrolle über einen infizierten Rechner gibt und es ihnen ermöglicht, sich lateral durch ein Netzwerk zu bewegen. StealC ist ein „Infostealer“, der speziell dafür entwickelt wurde, Browser und Systemdateien nach gespeicherten Passwörtern, Cookies und Session-Tokens zu durchsuchen. Diese Tools werden oft auf Cybercrime-Foren verkauft oder vermietet, sodass weniger technische Kriminelle ausgefeilte Angriffe starten können.

Warum das wichtig ist

Für Teams, die Software selbst hosten, insbesondere WordPress-Seiten, verdeutlicht diese Operation das anhaltende Risiko von Lieferketten- und Plattformkompromittierungen. Die 681 bereinigten Websites zeigen, dass sogar seriöse Plattformen missbraucht werden können, wenn Administratoren keine strenge Sicherheitsdisziplin wahren. Angreifer verschaffen sich oft über gestohlene Zugangsdaten oder ungepatchte Plugins Zugang und installieren dann Backdoors, die bestehen bleiben, selbst wenn die ursprüngliche Schwachstelle behoben wird. Das bedeutet, dass bloße Software-Updates nicht ausreichen, wenn ein versteckter Zugangspunkt erhalten bleibt.

Die Beschlagnahme von 6,4 Millionen Logins unterstreicht den Wert der Wiederverwendung von Zugangsdaten bei modernen Angriffen. Wenn Ihre Organisation Passwörter verwendet, die in früheren Datenschutzverletzungen aufgetaucht sind, sind Sie einem höheren Risiko ausgesetzt, Ziel von Loadern wie Gootloader oder Stealern wie StealC zu werden. Darüber hinaus zeigt die Tatsache, dass die Betreiber von StealC ihre Infrastruktur schnell nach einer Stilllegung im Juni wieder aufbauten, dass diese Bedrohungen widerstandsfähig sind. Sich ausschließlich auf externe Maßnahmen der Strafverfolgung zu verlassen, ist keine tragfähige Sicherheitsstrategie; interne Abwehrmaßnahmen müssen davon ausgehen, dass Malware-Infrastruktur immer wieder auftauchen wird.

Was Sie tun können

• Administratorkonten prüfen: Entfernen Sie sofort alle unbekannten Benutzerkonten aus Ihrer WordPress-Installation oder Ihren selbst gehosteten Anwendungen.
• Starke Authentifizierung durchsetzen: Ändern Sie alle Admin-Passwörter in eindeutige, komplexe Zeichenfolgen mit mindestens 12 Zeichen und aktivieren Sie Multi-Faktor-Authentifizierung (MFA), wo immer möglich.
• Admin-Zugriff einschränken: Konfigurieren Sie Ihren Webserver so, dass der Zugriff auf /wp-admin oder entsprechende Login-Seiten nur von bekannten, vertrauenswürdigen IP-Adressen aus erlaubt ist.
• Nach Backdoors scannen: Aktualisieren Sie Plugins nicht nur; scannen Sie Ihre Codebasis aktiv nach unbekannten Dateien oder modifizierten Kern-Dateien, die als persistente Backdoors dienen könnten.
• Auf Kompromittierung prüfen: Nutzen Sie Dienste wie „Check your hack“ oder Have I Been Pwned, um zu sehen, ob die E-Mail-Adressen Ihrer Organisation in den sichergestellten Daten-Dumps von StealC oder CastleRAT enthalten sind.
• Alles aktualisieren: Stellen Sie sicher, dass Ihr WordPress-Kern, Ihre Themes und Ihre Plugins auf die neuesten Versionen aktualisiert sind, um bekannte Schwachstellen zu schließen, die von Loadern ausgenutzt werden.