Глобальна боротьба з шкідливим програмним забезпеченням "кіберзлочинність як послуга", яке непомітно спустошує криптогаманці, призвела до замороження десятків мільйонів доларів викрадених коштів.
Правоохоронні органи ідентифікували, позначили та заморозили понад 41 мільйон євро (близько 47 мільйонів доларів) кримінальних криптоактивів у рамках останньої фази операції Endgame, повідомив Європол у середу. Двотижнева багатонаціональна операція знищила інфраструктуру трьох сімейств шкідливого програмного забезпечення: SocGholish, Amadey та StealC.
Усі троє націлені на користувачів криптовалют. StealC, інфостілер, що продається як послуга з 2023 року, викрадає паролі, файли cookie браузера та дані криптогаманців з інфікованих машин. Його панель керування навіть включала плагін, який намагався дешифрувати початкові фрази (seed-фрази) гаманців MetaMask жертв, виявили дослідники Proofpoint.
Amadey отримує початкову точку доступу та встановлює подальше шкідливе програмне забезпечення, тоді як SocGholish, пов'язаний з російською групою Evil Corp, інфікує людей через підроблені підказки про оновлення браузера на зламаних веб-сайтах. Разом вони утворюють фронт атак, які закінчуються спустошеними гаманцями, захопленнями облікових записів та програмами-вимагачами.
Поліція вивела з ладу 326 серверів і 142 домени, відновила майже 27 мільйонів викрадених облікових даних з понад 385 000 скомпрометованих систем та очистила майже 15 000 інфікованих веб-сайтів, багато з яких належали малому бізнесу. Microsoft, партнер в операції, пов'язала Amadey і StealC з понад 140 000 інфікованих комп'ютерів по всьому світу лише за перші два тижні травня.
Інфостілери стали основним шляхом до викраденої криптовалюти, тихо викрадаючи файли гаманців, приватні ключі та початкові фрази з пристроїв жертв. Вони використовують різноманітні вектори для націлювання на користувачів криптовалют, включаючи підроблені інструменти ШІ, шпалери Steam та піратські модифікації ігор.
Масштаб витоку величезний. Раніше, наприкінці минулого року, в рамках операції Endgame були виявлені дані для входу для понад 100 000 криптогаманців, викрадені у жертв, але ще не спустошені.
Відділ цифрових злочинів Microsoft окремо подав позов про рекет у США, який вперше розглянув два сімейства шкідливого програмного забезпечення як єдину злочинну змову. Використовуючи інструменти ШІ, включаючи Copilot, для аналізу шкідливого програмного забезпечення, слідчі виявили, що Amadey і StealC, хоч і були створені різними злочинцями, працювали на спільній інфраструктурі, що дозволило Microsoft висунути звинувачення пособникам в обох операціях згідно із Законом RICO та зруйнувати понад 200 серверів керування та контролю. З того часу було ідентифіковано понад 18 000 комп'ютерів жертв та розпочато переривання контролю зловмисників.
.@Microsoft Digital Crimes Unit has taken down five operations in nine months that were enabling Cybercrime as a Service (CaaS).
Кіберзлочинність функціонує завдяки координації. Її руйнування вимагає такого ж підходу, співпраці з партнерами для руйнування систем, які роблять ці атаки… pic.twitter.com/b7ZVqdCatY
— Microsoft On the Issues (@MSFTIssues) June 24, 2026
Такі операції рідко повністю знищують шкідливе програмне забезпечення, і оператори, як правило, перегруповуються, причому StealC випустив нову збірку вже цього місяця. Наразі Європол та його партнери направляють сповіщення жертвам через такі сервіси, як Have I Been Pwned, щоб користувачі могли перевірити, чи їхні облікові дані та ключі до їхніх гаманців вже не опинилися в руках злочинців.
