Internationale Ermittler haben bei der Operation „Endgame“ drei Malware-Varianten unschädlich gemacht und weltweit Maßnahmen gegen mehr als 230 Server, über 250 Domains sowie mehr als 680 kompromittierte Webseiten umgesetzt.
Die Generalstaatsanwaltschaft Frankfurt am Main und das Bundeskriminalamt (BKA) setzten die Operation vom 9. bis 11. November gemeinsam mit Behörden aus den Niederlanden, Dänemark, Großbritannien, den USA und Kanada fort. Unterstützt wurden sie von Europol, Eurojust und privaten IT-Sicherheitsdienstleistern. Die Maßnahmen richteten sich nach Angaben der Ermittler gegen die Schadsoftware-Varianten Gootloader, CastleRAT und StealC.
Weltweit wurden Maßnahmen gegen mehr als 230 Server umgesetzt, darunter über 40 in Deutschland. Außerdem nahmen die Behörden mehr als 250 Domains der sogenannten Command-and-Control-Infrastruktur außer Betrieb. Über 680 kompromittierte Webseiten wurden bereinigt. Im Zuge der Ermittlungen wurden zudem rund 6,4 Millionen Zugangsdaten von mehr als 40.000 Opfern sichergestellt.
Über öffentlich zugängliche Informationsplattformen können Betroffene prüfen, ob ihre Daten kompromittiert wurden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützt die Benachrichtigung betroffener Personen in Deutschland.
Gootloader verbreitete weitere Schadsoftware
Ein Schwerpunkt der Ermittlungen lag auf Gootloader. Der sogenannte Dropper ist seit 2020 bekannt und infizierte nach bisherigen Erkenntnissen weltweit Millionen von Computersystemen. Deutschland gehörte dabei zu den besonders betroffenen Ländern.
Verbreitet wurde Gootloader unter anderem durch manipulierte Suchergebnisse. Bei diesem als SEO-Poisoning bezeichneten Vorgehen werden schädliche Webseiten in Suchmaschinen weit oben platziert. Klickten Nutzer auf solche Treffer, konnte der Schadcode auf ihre Systeme gelangen und weitere Schadsoftware nachladen, darunter Ransomware für Erpressungsangriffe.
Auch CastleRAT und StealC im Fokus
CastleRAT ist ein seit 2025 bekannter Remote-Access-Trojaner. Mit solcher Schadsoftware können Angreifer infizierte Computer aus der Ferne steuern. Im Zusammenhang mit CastleRAT wurden laut den Ermittlungen zahlreiche Daten verschlüsselt, IT-Systeme lahmgelegt und Unternehmen sowie Organisationen zur Zahlung von Lösegeld gedrängt.
Die Ermittler gingen außerdem erneut gegen den Stealer StealC vor, der auch über Dropper-Funktionalität verfügt und bereits im Juni 2026 Ziel internationaler Maßnahmen gewesen war. Nachdem die Betreiber ihre Infrastruktur angepasst und wieder in Betrieb genommen hatten, konnten das BKA und seine Partner nach eigenen Angaben auch diese neue Infrastruktur aufklären.
Ein maßgeblicher Teil davon wurde demnach beim Dienstleister „Virtualine/Omegatech“ betrieben. Der sogenannte Bullet-Proof-Hoster war bereits Ende Oktober 2026 durch das Polizeipräsidium Frankfurt am Main und die niederländische NHTCU abgeschaltet worden.
Bilanz der Operation Endgame seit 2024
Die unter deutscher Federführung gestartete Operation Endgame läuft seit 2024. Seit Beginn wurden den Angaben zufolge 17 Malware-Varianten unschädlich gemacht, 47 Haftbefehle erlassen und Vermögen von mehr als 270 Millionen Euro sichergestellt oder eingefroren.
Im Mittelpunkt stehen sogenannte Initial-Access-Malware, also digitale Türöffner wie Dropper und Loader. Sie können Opfersysteme unbemerkt infizieren, weitere Schadprogramme nachladen und den Diebstahl sensibler Daten ermöglichen. Durch die internationale Zusammenarbeit sollen sowohl die technische Infrastruktur als auch die wirtschaftlichen Grundlagen des arbeitsteiligen Cybercrime-as-a-Service-Modells geschwächt werden.
