В ходе операции «Эндгейм» были прерваны операции вредоносных программ Amadey и StealC.

[zender]

В рамках операции «Endgame», направленной против киберпреступных сервисов и группировок, занимающихся вымогательством, Microsoft, Европол и международные партнеры нарушили работу инфраструктуры, используемой вредоносными программами Amadey и StealC.


В операции по привлечению правоохранительных органов участвовали представители властей и частных партнеров из разных стран, которые помогали выявлять и уничтожать, изымать, блокировать или блокировать инфраструктуру, связанную с семействами вредоносных программ.


По данным Европола, в результате операции были выведены из строя 326 серверов и 142 домена. Следователи также выявили более 41 миллиона евро (47 миллионов долларов) в криптовалюте, связанной с преступной деятельностью, и вернули около 27 миллионов учетных данных, украденных из более чем 385 тысяч скомпрометированных систем.

«Одновременное изъятие этих инструментов в результате сотрудничества правоохранительных органов и частных лиц усилило препятствия для киберпреступников, затруднив тем самым успешные, распространяющиеся или пресекаемые атаки», — заявили в Европоле .


В ходе скоординированных действий также была выявлена уязвимость SocGholish (FakeUpdates) , вредоносная программа, которая заражает посетителей через скомпрометированные веб-сайты, предлагающие поддельные обновления браузера.


В операции «Эндгейм» участвовали правоохранительные органы Канады, Дании, Германии, Нидерландов, Великобритании и США, а координацию осуществляли Европол и Евроюст. Поддержку частному сектору оказали Microsoft, ESET, Proofpoint, IBM X-Force, Bitsight, Infoblox, Orange Cyberdefense, Shadowserver, Have I Been Pwned, Spamhaus и другие.


По данным Европола, операция была направлена на подрыв инфраструктуры киберпреступности, которую используют злоумышленники для получения первоначального доступа к системам, кражи учетных данных и, в конечном итоге, развертывания программ-вымогателей или совершения финансовых махинаций.


Amadey и StealC продаются киберпреступникам через сервисы «вредоносное ПО как услуга», в рамках которых партнеры платят за доступ к конструкторам вредоносного ПО, панелям управления, поддержке и инфраструктуре.


Преступники используют Amadey для получения первоначального доступа к устройствам жертв с целью развертывания дополнительного вредоносного ПО. StealC используется для кражи учетных данных, криптовалютных кошельков и другой конфиденциальной информации, которая впоследствии может быть продана или использована в атаках с применением программ-вымогателей.


Amadey — это вредоносный ботнет, используемый как группами, распространяющими программы-вымогатели, так и хакерскими группами, спонсируемыми государством, для взлома сетей. В последнее время StealC широко используется в различных атаках ClickFix, таких как создание поддельных обучающих видеороликов в TikTok и атаки FileFix .


В гражданском иске, поданном Microsoft в США, подразделение Microsoft по борьбе с цифровыми преступлениями заявило, что выявило более 200 вредоносных доменов и IP-адресов, используемых для управления и контроля, связанных с Amadey и StealC, и совместно с партнерами отключило инфраструктуру посредством судебных решений, изъятия доменов, регистрации и уведомления поставщиков услуг.


Согласно жалобе Microsoft , украденные учетные данные, полученные с помощью StealC, обычно продаются на подпольных торговых площадках и через брокеров первоначального доступа (IAB).


Затем эти учетные данные используются другими злоумышленниками для взлома сетей, кражи данных и развертывания программ-вымогателей.


Компания заявила, что за первые две недели мая 2026 года две группы вредоносных программ были связаны с более чем 140 000 зараженных устройств.


Другие частные партнеры опубликовали отчеты о своем участии в срыве операции.


Компания ESET , специализирующаяся на системах безопасности , заявила, что оказала помощь в проведении операции, выявив и нарушив работу инфраструктуры, используемой обоими семействами вредоносных программ. Компания сообщила, что в результате операции пострадало около 50 доменов, используемых участниками операции, и почти 200 активных серверов управления и контроля.


Компании Proofpoint и IBM X-Force также внесли свой вклад в сбор разведывательной информации и анализ вредоносного ПО, способствуя срыву операции.


Компания Bitsight заявила, что оказала помощь в проведении операции , выявив и проанализировав инфраструктуру, связанную с обоими семействами вредоносных программ, что помогло следователям составить карту серверов и соответствующей инфраструктуры управления и контроля, используемой злоумышленниками.


Данная операция является последним этапом операции «Эндгейм», в рамках которой ранее были нейтрализованы другие семейства вредоносных программ, такие как DanaBot , Bumblebee , Rhadamanthys, VenomRAT, Elysium и SmokeLoader .


К сожалению, если в ходе операций не производятся аресты, злоумышленники часто восстанавливают инфраструктуру для совершения новых атак .