Bereits seit 2022 läuft erfolgreich die Operation Endgame. Der neueste Schlag gegen die Infrastruktur von Infostealer-Malware wurde von internationalen Strafbehörden gelenkt und hat Domains, tausende Webseiten und Server vom Netz genommen: Die Infostealer StealC, SocGholish und Amadey werden gebremst.
Im Rahmen der internationalen Operation Endgame haben das Bundeskriminalamt (BKA), die Generalstaatsanwaltschaft Frankfurt am Main und Partnerbehörden aus mehreren Ländern erneut gegen zentrale Infrastrukturen der Cyberkriminalität vorgegangen. In der jüngsten Aktionsphase standen die Schadsoftware-Familien StealC, SocGholish und Amadey im Fokus, die nach Angaben der Ermittler als wichtige Bausteine für nachgelagerte Angriffe dienen.
Infrastruktur als Ziel der Ermittler
Die Maßnahmen richteten sich vor allem gegen die technische Infrastruktur der Täter. Laut BKA wurden dabei rund 15.000 Webseiten, mehr als 320 Server sowie über 140 Domains unschädlich gemacht. Von den Servern befanden sich 40 in Deutschland. Außerdem konnten die Ermittler etwa 27 Millionen Zugangsdaten von über 385.000 Opfern sicherstellen; die Betroffenen sollen über öffentlich zugängliche Informationsplattformen prüfen können, ob ihre Daten darunter sind.
StealC ist laut BKA vor allem darauf spezialisiert, sensible Informationen wie Passwörter, gespeicherte Zugangsdaten und digitale Identitäten auszulesen. SocGholish und Amadey wurden dagegen als sogenannte Initial-Access-Malware eingesetzt, um Opfersysteme zu infizieren und weitere Schadsoftware nachzuladen. Solche Werkzeuge gelten als zentraler Einstiegspunkt für Folgeangriffe, etwa für Datenmissbrauch oder Ransomware-Kampagnen.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenOperation Endgame seit langem erfolgreich
Die Operation Endgame verfolgt seit 2022 das Ziel, genau diese frühe Phase der Angriffskette zu unterbrechen. Durch die Zerschlagung der Infrastruktur sollen Täterwerkzeuge und Verbreitungswege dauerhaft gestört werden. Nach Einschätzung der Behörden schwächt das nicht nur einzelne Kampagnen, sondern auch das zugrunde liegende Geschäftsmodell von Cybercrime-as-a-Service.
- April 2025 – Maßnahmen gegen die identifizierten Kunden des Smokeloader-Akteurs „superstar75737“; dabei gab es mehrere vorläufige Festnahmen, Vernehmungen und Hausdurchsuchungen.
- Mai 2025 – Operation Endgame 2.0 gegen mehrere Malware-Familien wie Bumblebee, Danabot, HijackLoader, Latrodectus, Qakbot, Trickbot und Warmcookie; dabei wurden rund 300 Server und etwa 650 Domains entzogen sowie Kryptowährungen sichergestellt.
- November 2025 – eine weitere Phase der Operation gegen Rhadamanthys, VenomRAT und das Botnetz Elysium; dabei wurden laut Berichten über 1.000 Server vom Netz genommen.