Internationale Cyberaktion: 41 Millionen Euro in gestohlenen Kryptowährungen eingefroren

Eine groß angelegte internationale Polizeiaktion hat Cyberkriminelle, die weltweit Kryptowährungen stehlen, empfindlich getroffen. In der jüngsten Phase der Operation Endgame wurden gestohlene digitale Vermögenswerte im Wert von mehr als 41 Millionen Euro aufgespürt und eingefroren. Zudem wurde die digitale Infrastruktur hinter drei weit verbreiteten Malware-Familien zerschlagen.

Die Operation dauerte zwei Wochen und wurde von Ermittlungsbehörden aus mehreren Ländern gemeinsam mit Europol, Microsoft und weiteren Partnern durchgeführt. Im Fokus standen die Malware-Familien SocGholish, Amadey und StealC, mit denen Cyberkriminelle Computer infizieren und sensible Daten abgreifen.

Malware nimmt Nutzer von Krypto-Wallets ins Visier

Malware ist Schadsoftware, die unbemerkt auf einen Computer oder Laptop gelangt. In diesem Fall ging es vor allem darum, Daten zu stehlen, mit denen Cyberkriminelle Zugriff auf Krypto-Wallets erhalten können – also auf digitale Geldbörsen, in denen Kryptowährungen verwahrt werden.

StealC ist ein sogenannter Infostealer, also eine Malware, die gezielt sensible Informationen sammelt. Das Programm stiehlt unter anderem Passwörter, Browser-Cookies und Daten aus Krypto-Wallets. Forscher des Cybersicherheitsunternehmens Proofpoint stellten zudem fest, dass StealC versuchte, die sogenannte Seed Phrase von MetaMask-Nutzern auszulesen. Mit dieser Reihe von Wiederherstellungswörtern lässt sich eine Krypto-Wallet vollständig wiederherstellen, sodass Kriminelle den gesamten Inhalt übernehmen können.

Amadey wird eingesetzt, um Rechner zunächst zu infizieren und anschließend weitere Malware zu installieren. SocGholish verbreitet sich über gehackte Websites, auf denen Besucher eine gefälschte Meldung sehen, die sie zu einem Browser-Update auffordert. Wer darauf klickt, installiert unbemerkt die Malware.

Hunderte Server und Tausende Websites vom Netz genommen

Nach Angaben von Europol brachte die internationale Operation eine Reihe konkreter Ergebnisse. Während des Einsatzes wurden:

• 326 Server abgeschaltet;
• 142 Internetdomains vom Netz genommen;
• fast 27 Millionen gestohlene Anmeldedaten sichergestellt;
• mehr als 385.000 infizierte Computer identifiziert;
• fast 15.000 kompromittierte Websites bereinigt.

Unter den betroffenen Websites waren viele Seiten kleiner Unternehmen, die häufig nicht wussten, dass ihre Website zur Verbreitung von Malware missbraucht wurde.

Microsoft teilte zudem mit, dass Amadey und StealC allein in der ersten Maihälfte weltweit für mehr als 140.000 infizierte Computer verantwortlich waren.

Infostealer werden zur wachsenden Gefahr für Kryptowährungen

Nach Einschätzung von Cybersicherheitsexperten zählen Infostealer inzwischen zu den größten Risiken für Besitzer von Kryptowährungen. Diese Malware sucht gezielt nach Passwörtern, privaten Schlüsseln und Wiederherstellungscodes, mit denen digitale Vermögenswerte gestohlen werden können.

Cyberkriminelle verbreiten solche Malware über verschiedene Wege, darunter gefälschte KI-Programme, manipulierte Steam-Hintergründe und illegale Mods für Computerspiele.

Das Ausmaß des Problems zeigte sich bereits in einer früheren Phase der Operation Endgame. Damals wurden Daten von mehr als 100.000 Krypto-Wallets entdeckt, deren Zugangsdaten bereits gestohlen worden waren, obwohl die Wallets zu diesem Zeitpunkt noch nicht geleert waren.

Microsoft geht auch juristisch vor

Neben der internationalen Polizeiaktion hat Microsoft in den USA eine Zivilklage gegen die Gruppen hinter Amadey und StealC eingereicht.

Mithilfe von künstlicher Intelligenz, darunter Microsoft Copilot, fanden Ermittler heraus, dass beide Malware-Familien dieselbe digitale Infrastruktur nutzten, obwohl sie von unterschiedlichen Cyberkriminellen entwickelt worden waren. Dadurch konnte Microsoft auf Grundlage des US-amerikanischen RICO-Gesetzes, das zur Bekämpfung organisierter Kriminalität dient, gemeinsam gegen beide Netzwerke vorgehen.

Nach Angaben von Microsoft wurden inzwischen mehr als 200 Command-and-Control-Server abgeschaltet. Über diese Server steuern Cyberkriminelle infizierte Computer aus der Ferne. Außerdem hat das Unternehmen mehr als 18.000 Computer von Opfern identifiziert und Maßnahmen ergriffen, um die Kontrolle der Angreifer zu unterbrechen.

Europol warnt vor anhaltender Cyberbedrohung

Auch wenn die Operation ein wichtiger Erfolg für die internationalen Ermittlungsbehörden ist, warnen Experten, dass sich Cyberkriminelle schnell anpassen. Neue Malware-Versionen tauchen regelmäßig auf, und Kriminelle bauen ihre Infrastruktur häufig wieder auf. So ist bereits in diesem Monat eine neue Variante von StealC aufgetaucht.

Europol rät Nutzern daher, wachsam zu bleiben und regelmäßig zu prüfen, ob ihre Daten abgegriffen wurden. Möglich ist das unter anderem über die Website Have I Been Pwned. Wer feststellt, dass persönliche Daten geleakt wurden, sollte Passwörter umgehend ändern und, wo möglich, Zwei-Faktor-Authentifizierung aktivieren, um Konten und Krypto-Wallets besser zu schützen.