Penumpasan global terhadap malware "cybercrime-as-a-service" yang secara diam-diam menguras dompet kripto telah membekukan puluhan juta dolar dalam dana curian.

Penegak hukum mengidentifikasi, menandai, dan membekukan lebih dari €41 juta (sekitar $47 juta) aset kripto kriminal dalam fase terbaru Operasi Endgame, kata Europol pada Rabu. Serangan multi-negara selama dua minggu tersebut membongkar infrastruktur di balik tiga keluarga malware: SocGholish, Amadey, dan StealC.

Ketiganya menargetkan pengguna kripto. StealC, infostealer yang dijual sebagai layanan sejak 2023, mencuri kata sandi, cookie browser, dan data dompet kripto dari mesin yang terinfeksi. Panel kontrolnya bahkan menyertakan plugin yang mencoba mendekripsi frasa benih (seed phrases) dompet MetaMask korban, demikian yang ditemukan oleh peneliti di Proofpoint.

Amadey mendapatkan pijakan awal dan menyebarkan malware lebih lanjut, sementara SocGholish, yang terkait dengan grup Rusia Evil Corp, menginfeksi orang melalui permintaan pembaruan browser palsu di situs web yang diretas. Bersama-sama, mereka membentuk ujung depan serangan yang berakhir dengan pengurasan dompet, pengambilalihan akun, dan ransomware.

Polisi menonaktifkan 326 server dan 142 domain, memulihkan hampir 27 juta kredensial curian dari lebih dari 385.000 sistem yang disusupi, dan membersihkan hampir 15.000 situs web yang terinfeksi, banyak di antaranya adalah usaha kecil. Microsoft, mitra dalam operasi ini, mengaitkan Amadey dan StealC dengan lebih dari 140.000 komputer yang terinfeksi di seluruh dunia hanya dalam dua minggu pertama bulan Mei.

Apa itu Infostealers?

Infostealers telah menjadi jalur utama menuju kripto yang dicuri, secara diam-diam mengambil file dompet, kunci privat, dan frasa benih (seed phrases) dari perangkat korban. Mereka menggunakan berbagai vektor untuk menargetkan pengguna kripto, termasuk alat AI palsu, wallpaper Steam, dan mod game bajakan.

Skala eksposur sangat besar. Tindakan Operasi Endgame sebelumnya akhir tahun lalu mengungkap data login untuk lebih dari 100.000 dompet kripto, yang dicuri dari korban tetapi belum dikosongkan.

Unit Kejahatan Digital Microsoft secara terpisah mengajukan gugatan pemerasan di A.S. yang, untuk pertama kalinya, memperlakukan dua keluarga malware sebagai satu konspirasi kriminal. Menggunakan alat AI termasuk Copilot untuk menganalisis malware, para penyelidik menemukan bahwa Amadey dan StealC, meskipun dibangun oleh kriminal yang berbeda, berjalan pada infrastruktur bersama, memungkinkan Microsoft untuk menuntut fasilitator di kedua operasi di bawah RICO Act dan mengganggu lebih dari 200 server command-and-control. Sejak itu, mereka telah mengidentifikasi lebih dari 18.000 komputer korban dan mulai memutuskan kendali penyerang.

Penonaktifan seperti itu jarang membunuh malware secara langsung, dan operator cenderung berkumpul kembali, dengan StealC mengirimkan versi baru baru-baru ini di bulan ini. Untuk saat ini, Europol dan mitranya mengarahkan peringatan korban melalui layanan seperti Have I Been Pwned, sehingga pengguna dapat memeriksa apakah kredensial mereka, dan kunci dompet mereka, sudah berada di tangan kriminal.