Europol, in collaborazione con diversi partner internazionali nell’ambito della sicurezza informatica come l’European Cybercrime Centre, ha lanciato una nuova offensiva contro l’infrastruttura globale del cybercrime.
La campagna, battezzata Operation Endgame, è iniziata nel 2024 e ha come ambizioso obiettivo lo smantellamento di infrastrutture legate ad attacchi ransomware e malware a livello globale.
L’azione, come sottolineato da Europol, non si è concentrata su singoli hacker ma si è rivolta all’intera filiera del cybercrimine, con strutture consolidate che permettono di creare e gestire attacchi su vasta scala.
Una coalizione globale tra istituzioni e Big Tech
L’ultimo intervento delle forze dell’ordine che rientra nella campagna è durato due settimane, con interventi coordinati in diversi paesi. Nello specifico, tra gli stati interessati figurano Canada, Danimarca, Francia, Germania, Belgio, Paesi Bassi, Regno Unito, Stati Uniti e Australia.
L’operazione, attuata con il supporto giudiziario di Eurojust, ha visto anche la collaborazione di alcuni nomi importanti nel contesto tech come Microsoft, Shadowserver Foundation, Proofpoint, IBM X-Force, Infoblox, NorthWave, Orange Cyberdefense, Bitdefender, Have I Been Pwned, Spamhaus e Registrar of Last Resort.
Di fatto, questa fitta rete di partner ha permesso alle autorità di analizzare e tracciare i cybercriminali, andando a mitigare in modo efficace le campagne malevole dagli stessi gestite.
SocGholish, Amadey e StealC nel mirino di Europol
I numeri riportati da Europol dimostrano come l’intervento abbia portato a risultati concreti.
Nello specifico, si fa cenno a 326 server e 142 domini neutralizzati, con 41 milioni di euro in asset crypto gestiti dai cybercriminali identificati e bloccati.
L’operazione ha inoltre fatto emergere 27 milioni di credenziali rubate: un numero che dimostra come le dimensioni di questo mercato clandestino siano vaste.
Gli esperti di sicurezza informatica, nello specifico, si sono concentrati nel contrastare SocGholish, ovvero un malware diffuso tramite falsi aggiornamenti di browser.
A tal proposito, gli esperti hanno parlato di quasi 15.000 siti infetti sfruttati per la diffusione di questo virus.
SocGholish
SocGholish, noto anche come FakeUpdates, è un malware individuato per la prima volta nel 2017 che, secondo l’opinione degli esperti, è strettamente collegato con il collettivo russo Evil Corp.
Altre due infrastrutture malware colpite riguardano Amadey e StealC. Questi sono strumenti noti nel contesto del cybercrimine per ottenere accesso iniziale e per sottrarre informazioni alle vittime.
Amadey
Il primo dei due è attivo sulla scena dal 2018 e, secondo chi si occupa di cybersecurity, viene proposto sui forum del dark web a un costo intorno ai 500 dollari.
StealC
StealC è invece più recente, essendo apparso online nel 2023. Quest’ultimo è specializzato nel furto dei cookie di sessione, intromissione utile ai criminali informatici per superare l’autenticazione multifattore.
Perché colpire l’infrastruttura è la strategia vincente
Il malware è spesso utilizzato per accedere ai wallet di criptovalute.
Microsoft stima che, all’inizio di maggio 2026, questi malware fossero collegati a oltre 140.000 sistemi infetti, un volume che aiuta a spiegare perché le autorità abbiano scelto di colpire l’infrastruttura e non soltanto i singoli operatori.
