Europol ve dokuz ülkeden kolluk kuvvetleri, siber suçluların kullandığı Gootloader, CastleRAT ve StealC zararlı yazılım ağlarına yönelik ortak bir operasyon düzenledi. Operasyon kapsamında 235 sunucu ve 257 alan adı ele geçirildi.
Gootloader, 2020'den bu yana etkin olan bir zararlı yazılım yükleyicisi. StealC, kurbanların cihazlarından kimlik bilgilerini, kripto para cüzdanlarını ve diğer hassas bilgileri sızdırmaya yarayan bir bilgi hırsızlığı yazılımı. Geçen yıl ortaya çıkan CastleRAT ise uzaktan erişim truva atı olarak biliniyor. Üç yazılım ailesi de fidye yazılımı çeteleri dahil çeşitli siber suç operasyonlarında kullanıldı.
Söz konusu eylem, siber suç ve "hizmet olarak siber suç" ağlarını hedefleyen uluslararası Operasyon Endgame'in bir parçası. Operasyonun bu aşamasına Bulgaristan, Kanada, Danimarka, Almanya, Moldova, Hollanda, Polonya, Birleşik Krallık ve ABD'den kolluk kuvvetleri katıldı; Europol ve Eurojust süreci koordine etti.
Yetkililer, üç zararlı yazılım operasyonuna bağlı altyapının tespit edilmesi, kaldırılması, ele geçirilmesi ve engellenmesine yardımcı olan özel sektör ortaklarıyla birlikte hareket etti. Ele geçirilen altyapıda, zararlı yazılım bulaştırılmış sistemlerden çalınan 6,4 milyon mağdur verisi tespit edildi. Bu verilerin fidye yazılımı saldırıları dahil başka siber saldırılarda kullanılması amaçlanıyordu.
Europol, operasyon sırasında suçluların sahip olduğu ve yetkililerce ele geçirilen altyapıda 6 milyondan fazla mağdur kimlik bilgisinin tespit edildiğini açıkladı. Kurum, şüphelilerin bu bilgileri satmak ve ardından fidye yazılımı gibi başka saldırılarda kullanmak üzere topladığını belirtti.
Mağdur verileri HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation ve NL-NCSC platformları üzerinden erişime açılacak. Böylece CastleRAT zararlı yazılımı nedeniyle kimlik bilgileri çalınan kullanıcılar uyarılacak. WordPress kullanıcılarına kimlik bilgilerini güncellemeleri, çok faktörlü kimlik doğrulamayı etkinleştirmeleri ve güvenlik açıklarını kapatmaları çağrısı yapıldı.
Operasyon Endgame daha önce de benzer adımlarla gündeme gelmişti. Haziran ayında yaklaşık 15 bin zararlı yazılım bulaştırılmış WordPress sitesi temizlenmiş, SocGholish botneti ve Rus siber suç grubu Evil Corp'a ait 106 sunucu ele geçirilmişti. Aynı ayın ilerleyen günlerinde Amadey ve StealC altyapısına yönelik operasyonda 326 sunucu ve 142 alan adı kaldırılmış, 385 binden fazla ele geçirilmiş sistemden çalınan yaklaşık 27 milyon kimlik bilgisi kurtarılmıştı.
Bu operasyon, son dönemde mobil cihazları hedef alan ve yamalanmış açıkları kullanan kampanyaların ardından geldi. 5 Kasım'da Rusya bağlantılı olduğu değerlendirilen saldırganların ABD ve Avrupa'daki iOS ile Android kullanıcılarını hedef aldığı bildirilmişti.
