Operacja „Endgame”: największe uderzenie w infrastrukturę ransomware
Europol, we współpracy zarówno ze służbami, jak i partnerami prywatnymi, uderzył w zaplecze globalnej cyberprzestępczości.
W czwartek 24 czerwca br. poinformowano o największej dotąd międzynarodowej operacji w ramach „Endgame”, wymierzonej w mechanizmy umożliwiające ataki ransomware. Akcja objęła infrastrukturę wykorzystywaną przez złośliwe oprogramowanie SocGholish, Amadey i StealC .
Międzynarodowe organy ścigania (z Kanady, Danii, Niemiec, Holandii, Wielkiej Brytanii i Stanów Zjednoczonych), Microsoft i 10 innych prywatnych firm (w tym Orange Cyberdefense), w ciągu trwających dwa tygodnie działań, rorozbiły kluczowe elementy przestępczych „taśm produkcyjnych” służących do przeprowadzania ataków ransomware , wyłudzeń finansowych i operacji przeciwko infrastrukturze krytycznej.
W ramach koordynowanych przez Europol i Eurojust działań namierzono 326 serwerów i 142 domeny , odzyskano 27 milionów skradzionych danych logowania oraz zidentyfikowano, oznaczono i ograniczono wykorzystanie kryptowalut pochodzących z przestępstw o wartości ponad 41 milionów euro (ok. 176 mln zł.).
SocGholish na celowniku
Jednym z głównych celów akcji był SocGholish (znany też jako „FakeUpdates”), czyli złośliwe oprogramowanie typu dropper/loader, wykorzystywane do otwierania cyberprzestępcom drogi do przejętych systemów. Narzędzia tego rodzaju były udostępniane w modelu Cybercrime-as-a-Service (jako usługa), służąc innym grupom jako pierwszy etap infekcji, po którym te mogły prowadzić kolejne działania (np. instalowanie ransomware).
SocGholish rozprzestrzeniał się przede wszystkim przez przejęte strony internetowe – zwłaszcza oparte na WordPressie – na których użytkownikom wyświetlano fałszywe komunikaty o aktualizacji przeglądarki, przez co ofiary pobierały szkodliwy program. W ramach operacji wymierzonej w tę infrastrukturę usunięto 14 971 zainfekowanych witryn , należących m.in. do restauracji, warsztatów samochodowych i innych firm świadczących codzienne usługi.
Działania operacji w tej kwestii obejmowały czyszczenie stron WordPress , informowanie poszkodowanych właścicieli, zachęcanie ich do aktualizacji platform i wzmocnienia danych logowania, a także rozbicie botnetu SocGholish poprzez przejęcie domen i odłączenie serwerów.
SocGholish jest łączony z rosyjską grupą Evil Corp , znaną wcześniej z malware Zeus i Dridex oraz powiązaną z operacjami ransomware i praniem pieniędzy.
Pokonali raka, dalej płacą za chorobę. Głośny apel do ministra finansów ws. kredytów
Dwa narzędzia, jeden cel
W operacji uwagę poświęcono też Amadey i StealC – narzędziom, które pełniły rolę technicznego zaplecza cyberprzestępców.
StealC to złośliwe oprogramowanie typu stealer z funkcją droppera, tworzone przede wszystkim po to, by wyciągać z przejętych komputerów poufne informacje (hasła, dane etc.) i przekazywać je do dalszego bezprawnego wykorzystania (sprzedaż danych, oszustwa).
Amadey działał, podobnie do SocGholish, jako dropper/loader, czyli program służący do uzyskania pierwszego dostępu do urządzenia i instalowania na nim kolejnych szkodliwych narzędzi. Rozprzestrzeniał się głównie przez kampanie phishingowe . Potrafił też kraść wrażliwe informacje.
Microsoft wskazał na powiązania między Amadey i StealC – pierwszy z nich zapewniał początkowe wejście do systemów, drugi odpowiadał za pozyskiwanie haseł i poufnych danych. Razem tworzyły ważny element przestępczego łańcucha dostaw.
Według informacji Microsoftu, tylko w pierwszych dwóch tygodniach maja 2026 roku programy były łączone z infekcjami ponad 140 000 komputerów na całym świecie.
Europol przestrzega
Holenderska policja zabezpieczyła już zainfekowane witryny i poinformowała ich właścicieli, apelując do użytkowników WordPressa o zmianę danych logowania , włączenie uwierzytelniania wieloskładnikowego, usunięcie nieznanych kont administracyjnych i bieżące aktualizowanie stron.
Sprawa SocGholish pokazuje, że fałszywe aktualizacje przeglądarek mogą wyglądać wiarygodnie , ale po instalacji łączą komputer z infrastrukturą cyberprzestępców i dają im początkowy dostęp do systemu.
Europol przypomina, że nie należy ufać wyskakującym oknom w przeglądarce ani efektownym komunikatom wymuszającym natychmiastowe działanie. Prawdziwe aktualizacje powinno się pobierać wyłącznie z oficjalnych źródeł , takich jak ustawienia systemowe lub sklep z aplikacjami.
Europol w swoim komunikacie zwraca też uwagę na zmianę podejścia całej organizacji – zamiast zwalczać pojedyncze zagrożenia, tym razem uderzono w cały mechanizm pozwalający cyberatakom przybierać masową skalę.
Paragraf na patostreaming. O losach ustawy zdecyduje prezydent