Rund 6,4 Millionen Zugangsdaten von über 40.000 Opfern sichergestellt
Wiesbaden. Internationale Ermittlungsbehörden haben bei einer weiteren Aktion der Operation Endgame die Infrastruktur der Schadprogramme Gootloader, CastleRAT und StealC angegriffen. Nach Angaben des Bundeskriminalamtes (BKA) und der Generalstaatsanwaltschaft Frankfurt am Main wurden vom 9. bis 11. November weltweit Maßnahmen gegen mehr als 230 Server ergriffen, darunter über 40 in Deutschland. Mehr als 250 Domains zur Steuerung der Schadsoftware wurden außer Betrieb genommen und über 680 kompromittierte Webseiten bereinigt.
Die Ermittler stellten außerdem rund 6,4 Millionen Zugangsdaten von mehr als 40.000 Opfern sicher. Betroffene können nach Angaben der Behörden über öffentlich zugängliche Informationsangebote prüfen, ob ihre Daten betroffen sind. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützt die Benachrichtigung in Deutschland und warnt Provider infizierter Systeme.
An der Aktion waren neben der Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) und dem BKA Behörden aus den Niederlanden, Dänemark, Großbritannien, den USA und Kanada beteiligt. Europol, Eurojust und private IT-Sicherheitsdienstleister unterstützten die Maßnahmen.
Gootloader verbreitete sich über manipulierte Suchergebnisse
Ein Schwerpunkt war Gootloader. Die seit 2020 bekannte Schadsoftware hat nach bisherigen Erkenntnissen der Ermittler weltweit Millionen Systeme infiziert. Deutschland gehörte demnach zu den besonders stark betroffenen Ländern.
Zur Verbreitung nutzten die Täter unter anderem sogenanntes SEO-Poisoning. Dabei werden Suchergebnisse so beeinflusst, dass schädliche Webseiten möglichst weit oben erscheinen. Wer solchen Treffern folgt, kann auf Seiten gelangen, über die Schadcode verbreitet wird. Gootloader ermöglicht anschließend das Nachladen weiterer Schadprogramme, darunter Ransomware für Erpressungsangriffe.
Nach Darstellung der Behörden erschwerte eine komplexe und regelmäßig weiterentwickelte Infrastruktur über längere Zeit das Vorgehen gegen Gootloader. Durch die jüngsten Maßnahmen sei den Betreibern die technische Grundlage ihrer Aktivitäten entzogen worden.
Fernzugriff und Datendiebstahl im Fokus
Die Aktion richtete sich außerdem gegen CastleRAT, einen seit 2025 bekannten Fernzugriffstrojaner. Mit solcher Software können Angreifer infizierte Computer aus der Ferne steuern. Nach Angaben der Ermittler wurde CastleRAT bei Angriffen eingesetzt, bei denen Daten verschlüsselt, IT-Systeme lahmgelegt und Unternehmen oder Organisationen zu Lösegeldzahlungen gedrängt wurden.
Erneut ins Visier geriet auch StealC. Das Programm dient dem Datendiebstahl und kann weitere Schadsoftware nachladen. Bereits im Juni 2026 waren Strafverfolgungsbehörden dagegen vorgegangen. Anschließend bauten die Betreiber ihre Infrastruktur in veränderter Form wieder auf.
Folgeermittlungen hätten auch diese neue Infrastruktur aufgedeckt, teilten BKA und ZIT mit. Wesentliche Teile liefen demnach beim Hosting-Dienst Virtualine/Omegatech. Diesen hatten das Polizeipräsidium Frankfurt am Main und die niederländische Polizeieinheit NHTCU bereits Ende Oktober 2026 abgeschaltet.
Carsten Meywirth, Leiter der Abteilung Cybercrime im BKA, erklärt: „Wir bekämpfen Cybercrime mit langem Atem und gleichzeitig hoher Schlagzahl. Auch technisch versierte und gut organisierte Cyberkriminelle müssen mit koordinierten internationalen Ermittlungen rechnen. Wir haben erneut gezeigt, dass wir, zusammen mit unseren internationalen Partnern und privaten Cybersecurity-Unternehmen auch vermeintlich unantastbare Malware unschädlich machen können. Wer seine Infrastruktur nach polizeilichen Maßnahmen wieder aufbaut, legt neue Spuren, denen wir nachgehen.“
Operation läuft seit 2024
Die unter deutscher Federführung gestartete Operation Endgame besteht seit 2024. Nach der bisherigen Bilanz der Behörden wurden seitdem 17 Malware-Varianten unschädlich gemacht, 47 Haftbefehle erlassen und mehr als 270 Millionen Euro Vermögen sichergestellt oder eingefroren. Diese Zahlen beziehen sich auf die gesamte Operation.
Ein zentrales Ziel sind Programme, die als digitale Türöffner zunächst Systeme infizieren und anschließend weitere Schadsoftware nachladen. Die Ermittler beziehen inzwischen auch Datendiebe und Fernzugriffstrojaner ein. Dr. Benjamin Krause, Leitender Oberstaatsanwalt und Pressesprecher der ZIT, hebt dabei die Zusammenarbeit mit internationalen Behörden und privaten Organisationen hervor.
Informationen zur Operation und Möglichkeiten, Hinweise zu geben, stehen auf www.operation-endgame.com. Hinweise zur Bereinigung infizierter Systeme bietet das Bundesamt für Sicherheit in der Informationstechnik.
Text mit KI-Unterstützung erstellt und redaktionell geprüft.
Videoquelle / Link: Bundeskriminalamt
