Polizei legt Server von drei Malware-Netzen still und findet 6 Millionen gestohlene Logins
Polizeibehörden aus neun Ländern haben unter Koordination von Europol die Server hinter drei Schadprogrammen abgeschaltet: dem Loader Gootloader, dem Fernzugriffstrojaner CastleRAT und dem Passwortdieb StealC. Laut der Mitteilung von Europol vom 12. November wurden gemeinsam mit privaten Partnern 235 Server und 257 Domains beschlagnahmt oder abgeschaltet. Auf diesen Servern fanden die Ermittler mehr als 6 Millionen Zugangsdaten, die von infizierten Computern gestohlen worden waren. In der Überschrift der Mitteilung ist von 6,4 Millionen Opferdatensätzen die Rede.
Kurz gesagt
- Die Aktion gehört zur Operation Endgame, der internationalen Kampagne gegen Werkzeuge, die Ransomware den Weg in Netzwerke öffnen.
- Daten der CastleRAT-Opfer gehen an Have I Been Pwned und andere Warndienste, damit Betroffene erfahren, dass ihre Passwörter gestohlen wurden.
- Festnahmen hat Europol in dieser Runde nicht gemeldet.
Was die drei Programme taten
Gootloader ist seit 2020 aktiv. Seine Betreiber hackten Websites, oft mit WordPress, und legten dort gefälschte juristische Dokumente ab. Wer eine solche Datei herunterlud, infizierte seinen Computer, und Gootloader lud danach weitere Schadsoftware nach, darunter Ransomware. Die Polizei schaltete 218 Gootloader-Domains ab und bereinigte 681 infizierte Websites.
CastleRAT tauchte 2025 auf und lässt einen Angreifer einen infizierten Computer aus der Ferne steuern. Laut Europol war er so gebaut, dass er schwer zu entdecken ist, und wurde bei Angriffen eingesetzt, die Daten verschlüsselten, ganze IT-Systeme lahmlegten und Unternehmen zur Zahlung von Lösegeld zwangen. Die Polizei beschlagnahmte 120 CastleRAT-Server und 39 Domains. StealC zog gespeicherte Passwörter, Zugangsdaten und digitale Identitäten von infizierten Computern ab, die dann verkauft wurden. Die Polizei schaltete 102 StealC-Server ab. Schon im Juni 2026 hatte dieselbe Operation StealC zusammen mit Amadey und SocGholish getroffen, doch der Datendieb lief weiter.
Laut Europol verkauften die Verdächtigen die gestohlenen Zugangsdaten, und Käufer nutzten sie für weitere Angriffe, auch mit Ransomware. The420.in nennt die beteiligten Länder: Bulgarien, Kanada, Dänemark, Deutschland, Moldau, die Niederlande, Polen, Großbritannien und die USA.
Wie Opfer davon erfahren
Europol zufolge gehen die Opferdaten an Have I Been Pwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, die Shadowserver Foundation und das niederländische NCSC. Die Mitteilung bezieht diese Warnungen auf die CastleRAT-Opfer. Ob auch von StealC gestohlene Zugangsdaten so weitergegeben werden, steht dort nicht.
Was jetzt zu tun ist
- Melden Sie Ihre E-Mail-Adresse für Warnungen bei Have I Been Pwned an. Taucht sie in den übermittelten Daten auf, bekommen Sie eine Nachricht.
- Wenn eine solche Warnung kommt, prüfen Sie zuerst den Computer auf Schadsoftware. Passwörter auf einem infizierten Gerät zu ändern bringt nichts, die neuen werden ebenfalls gestohlen.
- Ändern Sie danach von einem sauberen Gerät aus die Passwörter für E-Mail, Bank und soziale Netzwerke und schalten Sie die Zwei-Faktor-Anmeldung ein.
- Wer eine WordPress-Website betreibt, sollte laut Europol die Admin-Zugangsdaten ändern, die Zwei-Faktor-Anmeldung einschalten und Kern, Themes und Plugins aktualisieren.
• 6.4 million victim datasets secured in international operation against malware networks - Europol / Operation Endgame
• Operation Endgame malware takedown turns up over 6 million stolen logins - Help Net Security
• Europol Disrupts Three Malware Networks, Identifies 6.4 Million Stolen Credentials - The420.in
