THE HAGUE / LONDON (IT BOLTWISE) – In der Operation Endgame haben Ermittler das kriminelle Infrastruktur-„Fließband“ hinter Amadey und StealC gestoppt. Nach Angaben von Europol wurden 326 Server und 142 Domains demontiert, zudem wurden Kryptowertwerte im Umfang von mehr als 47 Millionen US-Dollar blockiert. Besonders brisant: Die Aktion führte zur Wiederherstellung von bis zu 27 Millionen gestohlenen Zugangsdaten. Damit wird erneut sichtbar, wie eng Loader- und Stealer-Ökosysteme im KI-freien, aber hochautomatisierten Cybercrime-as-a-Service verzahnt sind.
Amadey und StealC waren über Monate hinweg nicht nur zwei Malware-Familien, sondern zwei Bausteine einer klar vermarkteten Angriffslogistik: Loader für den Einstieg, Stealer für die Ausleitung von Identitäts- und Finanzdaten. In einer koordinierten Aktion unter dem Namen „Operation Endgame“ haben Behörden gemeinsam mit Unternehmen wie Bitdefender, ESET und Microsoft das Setup gekappt, das „Assembly lines“ für Ransomware, Finanzbetrug und Angriffe auf kritische Infrastruktur ermöglichte. Europol spricht dabei ausdrücklich von der Störung der Infrastruktur, über die Cyberkriminelle Datenströme und Payloads in großem Maßstab zusammenstellen und verteilen.
Technisch lohnt ein genauer Blick auf die Rollenverteilung zwischen den Familien. Amadey wird als modularer Backdoor in C++ beschrieben, der seit Oktober 2018 aktiv ist und als MaaS (Malware-as-a-Service) im Untergrund gehandelt wurde. Die Distribution erfolgte laut den Berichten besonders häufig über kompromittierte WordPress-Webseiten und über Phishing-Kampagnen; zusätzlich wird Amadey über weitere Loader wie Emmenhtal und SmokeLoader nachgeliefert. Das Interface mit Befehlen umfasst unter anderem das Auslesen von Screenshots, das Starten von SOCKS-Proxys, das Steuern von VNC- oder Reverse-Proxy-Sitzungen sowie das gezielte Kopieren von Clipboard-Inhalten und Anmeldedaten.
Auch StealC folgt dem Pipeline-Prinzip, aber verschiebt die Aufmerksamkeit vom „Reichweitenaufbau“ hin zur Datenabholung. Die Stealer-Variante sammelt laut den Meldungen unter anderem Screenshots, Zugangsdaten, Session-Cookies, Autofill-Einträge, Kreditkartendaten sowie Browser- und Erweiterungsdaten. Auffällig ist die Palette unterstützter Formate und Ziele: Neben Chromium-Browsern werden auch Desktop-Programme wie Discord, FileZilla, Foxmail, Microsoft Outlook, Steam und Telegram adressiert, ergänzt durch Dateinamenmuster. Operativ fungiert StealC zudem als sekundärer Loader und kann über Kommandos von einem externen Server EXE-, MSI- oder PowerShell-Payloads nachladen.
Was die Angriffsseite für Verteidiger zusätzlich unangenehm macht, ist das gezielte „Umgehen durch Vermeidung“. StealC enthält Mechanismen, die abhängig von der Default-Sprache des Systems eine Selbstbeendigung auslösen, wenn die Locale zu Ländern wie Russland, Ukraine, Belarus, Kasachstan oder Usbekistan passt. Amadey soll wiederum ähnliche Prüfungen besitzen, die bestimmte Funktionen wie Credential- und Clipboard-Stealing auf Hosts in diesen Regionen aussetzen. Gerade solche Geofencing-Logiken wirken wie ein Kostenhebel für Angreifer: weniger fehlerhafte Ausführung, weniger Rauschen, potenziell höhere Trefferquoten. Für SOC-Teams bedeutet das, dass Indikatoren nicht überall gleich häufig auftreten und Telemetrie mehr Kontext braucht.
Die Markt- und Kollaborationsdimension zeigt sich in der Dimension der Maßnahme: 326 Server und 142 Domains wurden laut Bericht zerschlagen, 18.000 infizierte Rechner allein in der Sicht von Microsoft identifiziert und die Kontrolle darüber abgetrennt. Zudem wurden 200 schädliche C2-Domains und IP-Adressen markiert und anschließend durch ein Bündel aus Gerichtsaufträgen, Domain-Seizures, Registrierungsmaßnahmen und Provider-Notifikationen deaktiviert. Bitdefender-Chef Alex Cosoi ordnet das als Demonstration „öffentlicher und privater Zusammenarbeit“ ein und sendet damit zugleich eine Botschaft an MaaS-Betreiber: Koordination kann auch verteilte Ökosysteme finden und unterbrechen.
Für Unternehmen stellt sich dabei die konkrete Frage nach dem eigenen Risiko-Setup. Loader und Stealer sind im Kern die „zwei Hälften“ einer kommodifizierten Angriffskette: Ein Loader verschafft den ersten Fuß in der Tür, der Stealer nutzt den Zugang, sammelt Credentials, Cookies und Wallet-Daten und wird dann weiterveräußert – etwa über Underground-Foren inklusive Telegram. Als Gegenbeispiel lässt sich das gut an etablierten Schutzplattformen verdeutlichen: Während klassische Endpoint-Ansätze wie Microsoft Defender oder spezialisierte EDR-Systeme wie CrowdStrike stark auf Artefakte und Verhalten reagieren, adressieren solche Operationsdaten eher die Infrastruktur-Ebene. Genau hier treffen sich Incident Response und Threat Intelligence: Blockieren von Domänen/IPs senkt die Verfügbarkeit der MaaS-Komponenten, aber die Kontamination muss im Endpoint-Kontext beendet werden.
Auch die historischen Muster dahinter passen in eine längere Entwicklung: In den letzten Jahren haben MaaS-Anbieter die technischen Hemmschwellen gesenkt, indem sie Loader, Panels und Build-Prozesse standardisiert und gegen wiederkehrende Gebühren „verpackt“ haben. Bei Amadey wurde ein Pay-per-Rebuild-Modell genannt: Affiliates kauften eine Lizenz und zahlten pro neuem Build zusätzlich, beispielsweise wenn sie auf neue C2-Server rotieren mussten. StealC bot demgegenüber „unlimited build generation“ im Abo an, was die Betriebskosten senkt und C2-Rotation operativ erleichtert. Solche Preis- und Workflow-Entscheidungen sind für Verteidiger wichtig, weil sie erklären, warum Angriffe in Wellen mit variierender Intensität auftreten.
Rechtlich und datenschutzseitig ist der Erfolg der Operation nicht nur symbolisch. Wenn bis zu 27 Millionen gestohlene Login-Credentials zurückgewonnen werden und Kryptowertwerte im Wert von mehr als 47 Millionen US-Dollar identifiziert, markiert und eingeschränkt werden, dann geht es um mehr als reine „Takedowns“: Es geht um die Reduktion zukünftiger Missbrauchsfähigkeit von Identitäten und Zahlungskanälen. Gleichzeitig zeigt der Fall, wie Ermittler öffentlich-private Rollen aufteilen und über Gerichte und Provider-Mechanismen eingreifen. Für die nächsten Monate ist entscheidend, ob die MaaS-Ökosysteme sofort ersetzt werden oder ob die Infrastrukturunterbrechung den Attacker-Betrieb kurzfristig ausbremst. Mit Blick auf die berichteten C2-Server-Zahlen und die Skalierung der Payload-Verteilung dürfte der Markt versuchen, neue Loader-Ketten zu testen – Unternehmen sollten daher Credential-Hygiene, Blocklisten, Logging-Abdeckung und Wiederherstellungspläne eng zusammenziehen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Operation Endgame: Amadey und StealC MaaS-Netzwerk zerschlagen, 27 Mio. Credentials zurück" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Operation Endgame: Amadey und StealC MaaS-Netzwerk zerschlagen, 27 Mio. Credentials zurück" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Operation Endgame: Amadey und StealC MaaS-Netzwerk zerschlagen, 27 Mio. Credentials zurück« bei Google Deutschland suchen, bei Bing oder Google News!