Im Rahmen der "Operation Endgame" haben internationale Strafverfolgungs- und Justizbehörden einen weiteren Schlag gegen Betreiber von Ransomware-Infrastrukturen durchgeführt. Im Rahmen der Operation waren bereits vor einem Jahr über 100 Server und 2000 Domains vom Netz genommen worden.

Damals waren auch Schweizer Behörden beteiligt, die dieses Mal jedoch nicht direkt an Aktionen teilgenommen haben. Im Rahmen von "Endgame 2.0" wurden jetzt unter der Koordination von Europol und Eurojust vom 19. bis 22. Mai weitere 300 Server lahmgelegt und 650 Domains neutralisiert. Laut dem deutschen Bundeskriminalamt (BKA) sind rund 50 der beschlagnahmten Server in Deutschland stationiert. Zu den weiteren Beteiligten gehören Behörden aus Dänemark, Frankreich, Grossbritannien, den Niederlanden und den USA sowie private Cybersecurity-Firmen.

Wie Europol mitteilt, wurden durch die Operation die Malware-Stämme Hummel, Lactrodectus, Qakbot, Hijackloader, Danabot, Trickbot und Warmkeks neutralisiert. "Diese Varianten werden häufig anderen Cyberkriminellen als Service angeboten und dienen dazu, gross angelegte Ransomware-Angriffe zu ermöglichen", so Europol.

Der Fokus habe auf Initial Access Malware gelegen, mit der Cyberkriminelle unbemerkt in Systeme eindringen und Ransomware einsetzen. "Durch die Deaktivierung dieser Einstiegspunkte griffen die Ermittler bereits am Anfang der Cyberangriffskette an und schädigten damit das gesamte Cybercrime-as-a-Service-Ökosystem."

Zusätzlich wurden 3,5 Millionen Euro in Form von Kryptowährungen beschlagnahmt. Damit erhöhe sich der Gesamtbetrag der im Rahmen von Endgame blockierten Einnahmen der Cyberkriminellen auf über 21,2 Millionen Euro. 37 Verdächtige wurden identifiziert und internationale Haftbefehle gegen 20 mutmassliche Hauptakteure erlassen. Sie sollen Erstzugriffsdienste für Ransomware-Betreiber bereitgestellt haben. Gemäss einem Fahndungsaufruf des BKA gegen 17 Verdächtige handelt es sich bei diesen vor allem um russische Staatsbürger.

In den USA wurde eine Anklage gegen den mutmasslichen Hauptautor von Qakbot erhoben. Zusammen mit Komplizen soll er Rechner mit Malware infiziert und so die Ausführung von Ransomware-Angriffen durch Doppelpaymer, Revil, Conti, Black Basta und Cactus ermöglicht haben. Auch gegen die Entwickler von Danabot wurde Anklage erhoben. Mit der Malware soll eine russische Cybercrime-Organisation weltweit über 300'000 Computer infiziert haben. Mittels Betrug und Ransomware ist laut dem US-Justizministerium dadurch ein Schaden von mindestens 50 Millionen Dollar entstanden.

"Diese neue Phase zeigt, dass die Strafverfolgungsbehörden sich anpassen und erneut zuschlagen können, selbst wenn Cyberkriminelle ihre Ausrüstung und Organisation umstellen", sagte Europol-Exekutivdirektorin Catherine De Bolle in der Mitteilung. "Indem wir die Dienste unterbrechen, auf die Kriminelle angewiesen sind, um Ransomware einzusetzen, unterbrechen wir die Kill Chain an der Quelle."