GERMANY / LONDON (IT BOLTWISE) – Eine internationale Polizeikoalition hat die Server-Infrastruktur hinter Gootloader, CastleRAT und StealC abgeschaltet. Nach Angaben der deutschen Bundeskriminalamt-Behörde (BKA) wurden dabei rund 6,4 Millionen gestohlene Logins beschlagnahmt. Die Angreifer nutzten die Tools, um Passwörter zu erbeuten, Systeme mit weiteren Schadprogrammen zu infizieren und später auch Ransomware-Angriffe vorzubereiten. Die Aktion wurde ohne bekannt gegebene Festnahmen durchgeführt.
Die dieswöchige Aktion im Rahmen „Operation Endgame“ zeigt vor allem eins: Industriell betriebene Cyberkriminalität hängt häufig an einer vergleichsweise kleinen Zahl zentraler Infrastrukturkomponenten. Ziel waren gleich drei Schadsoftware-Ökosysteme, die in unterschiedlichen Rollen zusammenspielten: Gootloader fungierte als Loader, CastleRAT als Remote-Zugriffstrojaner (RAT) und StealC als Infostealer, der Zugangsdaten aus kompromittierten Rechnern exfiltriert. Laut BKA wurden dabei etwa 6,4 Millionen gestohlene Logins sichergestellt, die zu mehr als 40.000 Opfern gehören sollen. Damit rückt neben dem reinen „Takedown“ auch der klassische Monetarisierungs-Mechanismus in den Fokus: Zugangsdaten werden verkauft, weiterverwendet und oft unmittelbar für Folgeschritte genutzt.
Technisch betrachtet beginnt der Kompromiss bei Gootloader häufig nicht mit einer direkten Ausnutzung, sondern mit einer Kette aus Social-Engineering und SEO-manipulierten Webseiten. Der Loader konnte nach der Erstinfektion zusätzliche Schadsoftware nachladen, insbesondere Ransomware. Verbreitet wurde er über vermeintlich legale Dokumente, die auf gehackten Websites lagen; besonders häufig wurden WordPress-Seiten genannt. Um Nutzer gezielt auf diese Seiten zu lenken, setzten die Betreiber offenbar auf SEO-Poisoning: Suchmaschinen sollten die manipulierten Inhalte weit oben anzeigen, sodass Opfer beim Klick in die Angriffsschleife geraten. Für die Größenordnung nennt das US-Justizministerium eine Infektionsbasis von mindestens 25.000 Computern seit 2018; die Ermittlungsangaben aus Deutschland liegen dabei deutlich höher, sodass insgesamt von Millionen kompromittierter Systeme seit dem Auftreten ausgegangen wird.
Der operationelle Hebel der Strafverfolgung lag anschließend in der Reichweite über mehrere Komponenten hinweg: Europol bezifferte im Zusammenfassungsbericht die Beschlagnahme von 235 Servern und 257 Domains über alle drei Tools hinweg. Für Gootloader nennen die Behörden 14 abgeschaltete Server und 218 Domains sowie die Entfernung von Schadsoftware aus 681 kompromittierten Websites. Mit gerichtlicher Genehmigung hätten US-Behörden und internationale Partner Gootloader zudem von mehr als 100 Servern entfernt, einschließlich gehackter WordPress-Umgebungen. Zusätzlich seien in den USA Domains beschlagnahmt worden, die für Zustellung und Steuerung der Malware genutzt wurden. Gerade diese Trennung ist wichtig: Auch wenn ein Loader „nur“ Folgemodule nachlädt, wirkt die Unterbrechung der Delivery- und Command-and-Control-Infrastruktur oft unmittelbar wie ein Stromausfall für ganze Kampagnen.
CastleRAT und StealC ergänzten das Bild aus zwei Perspektiven: Zugriff und Wiederverwertung. CastleRAT wird als Remote-Zugriffstrojaner beschrieben, der seit 2025 bekannt ist und Angreifern ermöglicht, infizierte Systeme aus der Ferne zu kontrollieren. In der Aktion sollen 120 Server und 39 Domains zu CastleRAT abgeschaltet worden sein. StealC dagegen zielt auf die „Beuteform“ ab, die später besonders wertvoll wird: Der Infostealer exfiltriert Passwörter und weitere Login- bzw. Zugangsdaten, damit Kriminelle die Konten missbrauchen oder weiterverkaufen können. Für StealC wurde die Infrastruktur erneut unterbrochen, nachdem bereits eine Operation im Juni gegen das Setup erfolgt war. Nach den Angaben der deutschen Polizei passten die Betreiber ihre Infrastruktur an und brachten sie wieder online, um sich der Reichweite der Ermittler zu entziehen.
Für die Betroffenen ist entscheidend, was nach dem Takedown passiert – und was nicht. Die Behörden betonen, dass die gestohlenen Logins trotz Beschlagnahme unter Umständen weiterhin in der Hand der Angreifer bleiben können. In der häufig gestellten Fragen-Linie wird außerdem beschrieben, dass Kriminelle, solange die Schadsoftware auf einem System verbleibt, weiterhin Passwörter aus dem kompromittierten Rechner abgreifen könnten. Die internationale Kommunikation setzt daher stark auf praktische Prüf- und Reaktionswege: In den Niederlanden wurde offenbar Datenmaterial, das über CastleRAT erbeutet wurde, in „Check your hack“ geladen, ein polizeinahes Prüfwerkzeug, bei dem Nutzer eine E-Mail-Adresse eingeben und bei Übereinstimmung innerhalb weniger Minuten eine Nachricht mit konkreten Schritten erhalten. In Deutschland unterstützt zudem das Bundesamt für Sicherheit in der Informationstechnik (BSI) laut BKA beim Benachrichtigen von Opfern, während in Dänemark die Ermittlungsstelle NSК bei der Bereinigung von 681 Webseiten mitgeholfen haben soll.
Auch für Betreiber kompromittierter Webseiten liefert die Aktion eine technische Handlungsanweisung, die sich an klassischen Post-Incident-Hygiene-Maßnahmen orientiert. Dänische Behörden sagten, sie gingen davon aus, dass die Angreifer zunächst über gestohlene Passwörter in die betroffenen Seiten gelangt seien und danach eine Hintertür installiert hätten. Entsprechend empfehlen Polizei und Sicherheitsstellen in Dänemark und den Niederlanden unter anderem, alle Administrator-Passwörter durch eindeutige Passwörter mit mindestens 12 Zeichen zu ersetzen, Multi-Faktor-Authentifizierung (MFA) zu aktivieren, nicht erkannte Konten zu entfernen sowie Backdoor-Code aus dem System zu entfernen. Dazu kommt der für WordPress typische „Patch“-Block: WordPress, Themes und Plugins aktualisieren und den Zugriff auf die /wp-admin/login-Seite auf die IP-Adressen eigener Geräte zu beschränken. Damit wird klar, warum der Takedown allein nicht reicht: Selbst wenn die Delivery-Kette gekappt wird, bleibt die lokale Kompromittierung der Webseiten und der Endgeräte das zentrale Risiko.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Operation Endgame: Polizei schaltet Gootloader, CastleRAT und StealC ab" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Operation Endgame: Polizei schaltet Gootloader, CastleRAT und StealC ab" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Operation Endgame: Polizei schaltet Gootloader, CastleRAT und StealC ab« bei Google Deutschland suchen, bei Bing oder Google News!