Am Donnerstag hatte ein internationaler Verbund aus Strafverfolgungsbehörden und Sicherheitsfirmen mehr als 100 Server der Passwort-Stealer-Malware StealC abgeschaltet. Die Aktion war Teil eines größeren Schlags, bei dem insgesamt 235 Server und 257 Domains gestört wurden, die auch von Gootloader und CastleRAT genutzt wurden.

In einer späteren Mitteilung erklärte Assistant Attorney General A. Tysen Duva, das Justizministerium habe Gootloader von mehr als 100 Servern entfernt, darunter kompromittierte Websites. Zudem seien mehrere Domains beschlagnahmt worden, über die die Täter die Malware verteilt und gesteuert hätten. Die betroffenen Domains zeigen nun ein Beschlagnahmebanner.

Laut Brett Leatherman, Operations Director der Cyber Branch des FBI, nutzten die Angreifer das Netz kompromittierter Websites, um Tausende Computer mit Gootloader zu infizieren und sich so den Zugang für das Ausrollen von Ransomware zu verschaffen. In diese Woche entsiegelten Gerichtsunterlagen schreiben die Ankläger, dass Opfer Gootloader in der Regel versehentlich herunterluden. Ihr Gerät wurde dadurch Teil eines Botnetzes. Den Zugang zu diesem Netz verkauften die Täter anschließend an Ransomware-Gruppen.

Leatherman zufolge gelang die Störung des Botnetzes durch koordinierte technische Maßnahmen, die Benachrichtigung von Opfern und die Bereinigung infizierter Systeme. Die Shadowserver Foundation arbeitete dafür weltweit mit Internetprovidern und Computer Security Incident Response Teams zusammen, um infizierte Systeme zu identifizieren und Betroffene zu informieren.

„Die Gootloader-Malware hat Opfer weltweit ins Visier genommen, darunter auch das US-Kriegsministerium und die Rüstungsindustrie", erklärte Kenneth DeChellis vom Verteidigungsministerium.

Das Vorgehen ist nach Angaben des Justizministeriums Teil der Operation Endgame, einer langfristig angelegten internationalen Initiative gegen verbreitete Malware-Familien und große Botnetze. Frühere Phasen richteten sich gegen Server, Websites und Botnetze von:

  • DanaBot
  • IcedID
  • SystemBC
  • Pikabot
  • SmokeLoader
  • Bumblebee
  • Trickbot

Im Rahmen von Endgame wurden außerdem der Infostealer Rhadamanthys, der Fernzugriffstrojaner VenomRAT und das Botnetz Elysium ausgeschaltet. Im vergangenen Jahr nahm das Justizministerium gemeinsam mit anderen Behörden zudem AVCheck.net, Crypt.guru, Cryptor.live und Cryptor.biz vom Netz – Dienste, auf denen Malware gegen echte Antivirenprogramme getestet wurde.