Operation Endgame: Polizei macht drei Malware-Varianten unschädlich
Vom 9. bis 11. November richteten sich die Maßnahmen gegen Gootloader, CastleRAT und StealC. Weltweit wurden über 230 Server mit Maßnahmen belegt, davon mehr als 40 in Deutschland.
Foto: unsplash
Wiesbaden (ost)
Internationale Strafverfolgungsbehörden setzen weltgrößte Polizeioperation “Endgame” gegen Cybercrime fort
“Operation Endgame” geht gegen mehrere Malware-Varianten vor: Gootloader, CastleRAT und StealC unschädlich gemacht
Die Generalstaatsanwaltschaft Frankfurt am Main – Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) – und das Bundeskriminalamt (BKA) haben ihr Engagement in der weltgrößten Polizeioperation gegen Cybercrime fortgesetzt. In einer weiteren international abgestimmten Aktion wurden im Zeitraum 9. bis 11. November gemeinsam mit Strafverfolgungsbehörden aus den Niederlanden, Dänemark, Großbritannien, USA und Kanada sowie mit Unterstützung durch Europol, Eurojust und privater IT-Sicherheitsdienstleister erfolgreich drei Malware-Varianten unschädlich gemacht.
Im Rahmen der internationalen Maßnahmen wurden weltweit über 230 Server mit Maßnahmen belegt, davon mehr als 40 in Deutschland. Darüber hinaus wurden über 250 Domains der Command-and-Control-Infrastruktur außer Betrieb genommen und über 680 kompromittierte Webseiten bereinigt.
Im Zuge der Ermittlungen wurden außerdem rund 6,4 Millionen Zugangsdaten von über 40.000 Opfern sichergestellt. Betroffene haben nunmehr die Möglichkeit, mithilfe öffentlich zugänglichen Informationsplattformen herauszufinden, ob ihre persönlichen Daten kompromittiert wurden. Zusätzlich unterstützt das Bundesamt für Sicherheit in der Informationstechnik (BSI) bei der Benachrichtigung von Betroffenen in Deutschland.
Mit “Gootloader” geriet dabei einer der einflussreichsten und gefährlichsten Dropper der vergangenen Jahre in den Fokus der Ermittlungen. Seit ihrem ersten Auftreten im Jahr 2020 hat die Schadsoftware nach bisherigen Erkenntnissen weltweit Millionen von Opfersystemen infiziert, Deutschland zählte dabei zu den am stärksten betroffenen Ländern.
Die weite Verbreitung von Gootloader war unter anderem auf SEO-Poisoning (Search Engine Optimization Poisoning) zurückzuführen. Bei dieser Angriffsmethode werden Suchmaschinen-Algorithmen manipuliert, um bösartige Webseiten möglichst weit oben in den Suchergebnissen erscheinen zu lassen. Viele Nutzer neigen dazu, den Top-Treffern von Suchmaschinen eine höhere Seriosität zuzuschreiben und wiegen sich in Sicherheit. Klicks auf solche manipulierten Suchergebnisse führten zu inkriminierten Webseiten, durch die dann der Schadcode von Gootloader verbreitet wurde. Über diesen Schadcode konnte weitere Malware nachgeladen werden, insbesondere Ransomware, die für schwerwiegende Erpressungsangriffe eingesetzt wird.
Aufgrund des hohen Professionalisierungsgrades der Täter und einer komplexen, regelmäßig weiterentwickelten technischen Infrastruktur galt Gootloader innerhalb der Cybercrime-Szene über lange Zeit als operativ besonders schwer zu stören. Mit den nunmehr durchgeführten polizeilichen Maßnahmen wurde den Tätern die Grundlage für ihre kriminellen Aktivitäten entzogen.
Neben Gootloader richteten sich die internationalen Ermittlungen zudem auch gegen “Castle-RAT”, einen seit 2025 bekannten Remote-Access-Trojaner (RAT). Eine solche Schadsoftware ermöglicht den Angreifern, einen infizierten Computer aus der Ferne zu steuern und für ihre kriminelle Zwecke zu missbrauchen. CastleRAT verfügte dabei über eine moderne technische Architektur, ließ sich flexibel einsetzen und nutzte Mechanismen, die seine Erkennung erschweren sollten. Durch die Anwendung von CastleRAT wurden zahlreiche Daten verschlüsselt, ganze IT-Systeme lahmgelegt und betroffene Unternehmen und Organisationen zur Zahlung von Lösegeld gedrängt.
Zudem richtete sich die Operation Endgame erneut gegen “StealC”, einem weitverbreiteten Stealer mit Dropper-Funktionalität. Dieser war bereits im Juni 2026 Ziel der internationalen Strafverfolgungsbehörden. Um sich dem Zugriff der Ermittlungsbehörden zu entziehen, passten die Täter ihre Infrastruktur an und nahmen sie wieder in Betrieb. Durch die konsequenten Folgeermittlungen des BKA und seiner internationalen Partner konnte jedoch auch die neue Infrastruktur aufgeklärt und weitere Angriffspunkte für polizeiliche Maßnahmen identifiziert werden. Maßgebliche Infrastruktur wurde unter anderem bei “Virtualine/Omegatech”, einem sogenannten Bullet-Proof-Hoster, betrieben. Der Hosting-Dienst wurde durch das Polizeipräsidium Frankfurt am Main und die niederländische NHTCU bereits Ende Oktober 2026 abgeschaltet.
Carsten Meywirth, Leiter der Abteilung Cybercrime im BKA:
“Wir bekämpfen Cybercrime mit langem Atem und gleichzeitig hoher Schlagzahl. Auch technisch versierte und gut organisierte Cyberkriminelle müssen mit koordinierten internationalen Ermittlungen rechnen. Wir haben erneut gezeigt, dass wir, zusammen mit unseren internationalen Partnern und privaten Cybersecurity-Unternehmen auch vermeintlich unantastbare Malware unschädlich machen können. Wer seine Infrastruktur nach polizeilichen Maßnahmen wieder aufbaut, legt neue Spuren, denen wir nachgehen.”
Dr. Benjamin Krause, Leitender Oberstaatsanwalt und Pressesprecher der ZIT:
“Erneut bestätigt die Operation Endgame die Strategie der Strafverfolgungsbehörden, bei der Bekämpfung von organisierter Cybercrime nicht nur mit Strafverfolgungsbehörden, sondern auch privaten Organisationen zusammenzuarbeiten. So wie die Täterseite sich ständig fortentwickelt, muss auch die Strafverfolgung sich immer neu überprüfen, fortentwickeln und die internationalen Beziehungen stärken. Der erneute Erfolg zeigt, dass die Operation Endgame ein hervorragendes Beispiel hierfür ist.”
Hintergründe zur Operation Endgame
Die unter deutscher Federführung gestartete internationale Operation Endgame wurde be-reits im Jahr 2024 ins Leben gerufen. Die Bilanz seit dem Start ist beachtlich: 17 Malware-Varianten wurden unschädlich gemacht, 47 Haftbefehle erlassen und über 270 Millionen Euro Vermögen sichergestellt oder eingefroren.
Ziel der Operation ist das abgestimmte Vorgehen gegen “Initial Access Malware” (sog. Drop-per/Loader). Diese dienen als digitale Türöffner, die unbemerkt Opfersysteme infizieren, um anschließend weitere Schadsoftware nachzuladen und sensible Opferdaten zu stehlen. Sie schaffen damit häufig die Voraussetzung für weitere Straftaten, darunter schwerwiegende Erpressungsangriffe mit hohen Lösegeldforderungen, bei denen Systeme mithilfe von Ransomware verschlüsselt werden. Mit der Operation Endgame wird dieser strategische Ansatz konsequent verfolgt und an die zunehmende Vielseitigkeit von Schadsoftware angepasst. Durch die Einbeziehung verschiedener Schadsoftware-Arten reagieren die Ermittler flexibel auf die dynamische Entwicklung der Cybercrime-Szene. So konnten nicht nur die Aktivitäten von Droppern und Loadern spürbar zurückgedrängt, sondern auch der Handlungsspielraum von Stealern und Remote-Access-Trojanern massiv eingeschränkt werden. Damit erhöht die Operation den Druck auf die Täter und erschwert es ihnen, ihre Aktivitäten einfach auf andere Varianten oder Infrastrukturen zu verlagern.
Dabei setzt Operation Endgame weiterhin auf das koordinierte Zusammenwirken internationaler Strafverfolgungsbehörden und privater IT-Sicherheitsunternehmen. Durch das professionelle und abgestimmte Vorgehen der einzelnen Partner werden die operativen sowie techni-schen Fähigkeiten der Täter maßgeblich beeinträchtigt, wodurch gleichzeitig auch die wirtschaftlichen Grundlagen des arbeitsteiligen Cybercrime-as-a-Service-Modells langfristig geschwächt werden.
Über die Webseite der internationalen polizeilichen Partner stehen fortlaufend Informationen zur Verfügung: www.operation-endgame.com. Hier werden entsprechende kriminelle Akteure in Form von Kurzvideos mit der Botschaft “Operation Endgame – think about (y)our next move” direkt adressiert und darüber hinaus potenzielle Zeugen um Hinweise gebeten.
Informationen für Opfer
Seit Mai 2024 unterstützt das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Endgame-Partner, bei den jetzt durchgeführten Maßnahmen der OP-Endgame insbesondere durch gezielte Warnung der Provider der infizierten Opfersysteme. Weitere Informationen mit Hinweisen zur Bereinigung infizierter Systeme sind auf der BSI-Webseite (https://www.bsi.bund.de) abrufbar.
Cybercrime-Statistiken in Baden-Württemberg für 2022/2023
In Baden-Württemberg stieg die Zahl der registrierten Cybercrime-Fälle von 11.144 im Jahr 2022 auf 13.531 im Jahr 2023, ein Anstieg um rund 21,4 Prozent. Die Zahl der aufgeklärten Fälle erhöhte sich von 4.056 auf 4.420, während die Aufklärungsquote von rund 36,4 auf 32,7 Prozent sank. Die Zahl der Tatverdächtigen stieg von 3.146 auf 3.473: Darunter waren 2022 insgesamt 2.153 Männer und 993 Frauen sowie 1.119 nichtdeutsche Tatverdächtige; 2023 waren es 2.380 Männer und 1.093 Frauen sowie 1.331 nichtdeutsche Tatverdächtige. Berlin verzeichnete 2023 mit 22.125 Fällen bundesweit die meisten Cybercrime-Fälle und damit 8.594 mehr als Baden-Württemberg.
