欧州刑事警察機構（Europol）と9カ国の法執行機関が、Gootloader、CastleRAT、StealCの各マルウェア運用に使われていた数百台のサーバーとドメインを押収しました。
Gootloaderは2020年から活動しているマルウェアローダーです。StealCは、被害者のデバイスから認証情報や暗号資産ウォレットなどの機密情報を窃取する情報窃取型マルウェアです。CastleRATは昨年登場したリモートアクセス型トロイの木馬（RAT）です。3つのマルウェアファミリーはいずれも、ランサムウェアグループを含むさまざまなサイバー犯罪組織に利用されてきました。
今回の共同作戦は、サイバー犯罪と「サービスとしてのサイバー犯罪（cybercrime-as-a-service）」ネットワークを標的とする国際的な法執行活動「Operation Endgame」の一環です。今回の段階には、ブルガリア、カナダ、デンマーク、ドイツ、モルドバ、オランダ、ポーランド、英国、米国の法執行機関が参加しました。作戦の調整はEuropolと欧州司法機構（Eurojust）が担いました。
当局は、3つのマルウェア運用に関連するインフラの特定、閉鎖、押収、遮断を支援した民間パートナーとともに、257件のドメインと235台のサーバーを押収しました。
さらに、標的となった犯罪インフラ上で、640万件の被害者データセットを確認しました。これらはマルウェアに感染したシステムから盗まれたもので、ランサムウェア攻撃を含む他のサイバー攻撃に使われる予定でした。
Europolは次のように述べています。「作戦中、犯罪者が所有するインフラから600万件を超える被害者の認証情報を特定し、今週、当局が押収しました。容疑者らは、被害者を感染させて盗み出したこれらの認証情報を販売し、その後ランサムウェアなど他のサイバー攻撃に使わせていました」（Europolの発表）。
「被害者データは、HaveIBeenPwned、DIVD、CheckjeHack、NoMoreLeaks、Sekoia、The Shadowserver Foundation、NL-NCSCの各プラットフォームを通じて公開され、CastleRATマルウェアによる認証情報の窃取被害を被害者に通知します。WordPressユーザーには、認証情報の更新、多要素認証の有効化、脆弱性へのパッチ適用を強く推奨します」
これまでのOperation Endgameの活動
6月には、同じ作戦の一環として、法執行機関がマルウェアに感染した約1万5,000件のWordPressサイトを浄化しました。あわせて、SocGholishボットネットとロシアのサイバー犯罪組織Evil Corpが使っていた106台のサーバーも押収しています。
同じ月の後半には、Operation EndgameがAmadeyとStealCのマルウェア運用に使われていた悪意あるインフラを妨害しました。326台のサーバーと142件のドメインを閉鎖し、38万5,000台超の侵害されたシステムから盗まれた約2,700万件の認証情報を回収しています。
1年前には、同じ共同作戦で、Rhadamanthys、VenomRAT、Elysiumの各ボットネットマルウェア運用に使われていた1,000台以上のサーバーも閉鎖されました。
これ以前にもOperation Endgameは、Smokeloaderボットネットの顧客とサーバー、ランサムウェアのインフラ、AVCheckサイトを標的にしてきました。そのほか、DanaBot、IcedID、Pikabot、Trickbot、Smokeloader、Bumblebee、SystemBCなど、主要なマルウェア運用も摘発しています。
