230 serwerów i 250 domen w międzynarodowej akcji
Operacja była wymierzona w infrastrukturę wykorzystywaną do rozprowadzania złośliwego oprogramowania oraz przejmowania dostępu do komputerów i kont internetowych. Niemieckie BKA i prokuratura we Frankfurcie nad Menem przekazały, że działania przeprowadziły wspólnie służby z Holandii, Danii, Wielkiej Brytanii, Stanów Zjednoczonych i Kanady. Wsparcia udzieliły Europol, Eurojust i firmy zajmujące się bezpieczeństwem informatycznym.
Śledczy podjęli działania wobec ponad 230 serwerów na całym świecie, w tym ponad 40 znajdujących się w Niemczech. Wyłączono ponadto ponad 250 domen używanych przez przestępców do zarządzania infekcjami, a ponad 680 przejętych wcześniej stron internetowych zostało oczyszczonych ze szkodliwych elementów. Dane te dotyczą najnowszej fazy przedsięwzięcia, a nie wszystkich operacji Endgame od 2024 roku.
Skala akcji ma znaczenie także dla zwykłych użytkowników internetu. Funkcjonariusze zabezpieczyli około 6,4 mln danych logowania powiązanych z ponad 40 tys. ofiar. Nie oznacza to, że każda osoba miała miliony kont; jedna ofiara może mieć wiele zapisanych haseł lub innych danych uwierzytelniających.
Gootloader, CastleRAT i StealC - trzy cele służb
Według BKA jednym z głównych celów był Gootloader, wykorzystywany do wprowadzania na komputer kolejnych szkodliwych programów. Jego operatorzy stosowali między innymi zatruwanie wyników wyszukiwania, czyli podnoszenie pozycji niebezpiecznych stron w wyszukiwarkach. Internauta mógł trafić na taką stronę podczas zwykłego poszukiwania informacji, a następnie pobrać zainfekowany plik.
Drugi cel, CastleRAT, pozwalał przestępcom zdalnie sterować zaatakowanym komputerem. Tego typu oprogramowanie może służyć do kradzieży danych, uruchamiania dalszych ataków lub ingerowania w pracę urządzenia bez wiedzy jego właściciela.
Trzecim narzędziem był StealC, znany przede wszystkim z wykradania informacji. Przestępcy odbudowywali jego zaplecze po wcześniejszych działaniach policji w czerwcu 2026 roku. Nowa faza Endgame uderzyła również w odtworzoną infrastrukturę. Śledczy wymienili między innymi usługi hostingowe wykorzystywane do ukrywania przestępczych serwerów.
Co oznaczają te nazwy?
Loader - program wprowadzający na komputer inne złośliwe oprogramowanie.
RAT - narzędzie, które po infekcji umożliwia atakującemu zdalny dostęp do urządzenia.
Stealer - program wykradający hasła, dane sesji i inne informacje z urządzenia.
Miliony danych logowania. Jak sprawdzić bezpieczeństwo kont?
BKA poinformowało, że osoby potencjalnie poszkodowane mogą korzystać z publicznych platform pomagających ustalić, czy ich dane znalazły się w zbiorach przejętych przez śledczych. Niemiecki Federalny Urząd Bezpieczeństwa Teleinformatycznego (BSI) wspiera zawiadamianie osób dotkniętych cyberatakami na terenie Niemiec.
Nie wystarczy jednak samo wyłączenie serwerów przestępców. Hasła, które wcześniej wyciekły, nadal mogą być przydatne do przejmowania kont, zwłaszcza gdy użytkownik powtarza je w wielu serwisach. Warto więc sprawdzić ostrzeżenia od dostawcy poczty i banku, wymienić zagrożone hasła, włączyć uwierzytelnianie dwuskładnikowe i skontrolować urządzenia pod kątem złośliwego oprogramowania.
Mechanizmy kradzieży danych mogą dotykać bardzo różnych usług. Na TrybunaPolska.pl opisywaliśmy zarówno wyciek danych w berlińskim szpitalu Charité, jak i osobną sprawę wycieku danych użytkowników platformy SECRA Bookings. Nie ma podstaw do przypisywania tych zdarzeń operatorom oprogramowania objętego najnowszą akcją Endgame; pokazują one jednak, jak różne sektory mogą być narażone na cyberprzestępczość.
Innym częstym zagrożeniem jest oszustwo oparte na podszywaniu się pod legalny serwis. Przykładem są fałszywe wiadomości o blokadzie kont PayPal, w których przestępcy nakłaniają użytkownika do wpisania hasła. Z kolei cyberataki na systemy supermarketów w Niemczech pokazują, że ingerencja w sieci komputerowe może przynosić również straty materialne poza samym internetem.
Operacja Endgame trwa od 2024 roku
Endgame rozpoczęto w 2024 roku jako skoordynowane międzynarodowe działania przeciw sieciom rozpowszechniającym złośliwe oprogramowanie. Według najnowszego zestawienia niemieckich służb od początku przedsięwzięcia unieszkodliwiono 17 odmian szkodliwych programów, wydano 47 nakazów aresztowania, a majątek o wartości przekraczającej 270 mln euro został zabezpieczony lub zamrożony.
Ważne jest rozróżnienie tych sum od rezultatów operacji z 9-11 listopada. Ponad 230 serwerów, ponad 250 domen i 6,4 mln danych logowania to rezultaty ostatniej akcji opisanej przez BKA. Z kolei 17 odmian oprogramowania, 47 nakazów aresztowania i ponad 270 mln euro odnoszą się do całego, wieloletniego przedsięwzięcia.
Niemieccy śledczy zapowiadają kontynuowanie współpracy międzynarodowej. Ich działania mają nie tylko utrudniać funkcjonowanie poszczególnych grup, lecz także odcinać przestępcom możliwość ponownego uruchamiania infrastruktury wykorzystywanej do ataków.
Źródła informacji
- Bundeskriminalamt (BKA)
- Generalstaatsanwaltschaft Frankfurt am Main (ZIT)
- Europol
