Internationale cyberactie bevriest 41 miljoen euro aan gestolen crypto

Een grootschalige internationale politieactie heeft een belangrijke slag toegebracht aan cybercriminelen die wereldwijd cryptovaluta stelen. Tijdens de nieuwste fase van Operatie Endgame werd voor ruim 41 miljoen euro aan gestolen digitale tegoeden opgespoord en bevroren. Daarnaast werd de digitale infrastructuur achter drie veelgebruikte malwarefamilies ontmanteld.

De operatie duurde twee weken en werd uitgevoerd door opsporingsdiensten uit meerdere landen, in samenwerking met onder meer Europol en Microsoft. De actie was gericht op de malwarefamilies SocGholish, Amadey en StealC, die door cybercriminelen worden gebruikt om computers te infecteren en gevoelige gegevens buit te maken.

Malware richt zich op gebruikers van cryptowallets

Malware is schadelijke software die ongemerkt op een computer of laptop terechtkomt. In dit geval was het belangrijkste doel om gegevens te stelen waarmee cybercriminelen toegang kunnen krijgen tot cryptowallets, de digitale portemonnees waarin cryptovaluta worden opgeslagen.

StealC is een zogenoemde infostealer: malware die speciaal is ontwikkeld om gevoelige informatie te verzamelen. Het programma steelt onder meer wachtwoorden, browsercookies en gegevens van cryptowallets. Onderzoekers van cybersecuritybedrijf Proofpoint ontdekten bovendien dat StealC probeerde de zogenoemde seed phrase van MetaMask-gebruikers te achterhalen. Met deze reeks herstelwoorden kan een cryptowallet volledig worden hersteld, waardoor criminelen de volledige inhoud kunnen overnemen.

Amadey wordt gebruikt om computers in eerste instantie te besmetten, waarna aanvullende malware wordt geïnstalleerd. SocGholish verspreidt zich via gehackte websites waarop bezoekers een nepbericht te zien krijgen waarin wordt gevraagd een browserupdate uit te voeren. Wie daarop klikt, installeert ongemerkt de malware.

Honderden servers en duizenden websites offline gehaald

Volgens Europol heeft de internationale operatie geleid tot een groot aantal resultaten. Tijdens de actie werden:

• 326 servers uitgeschakeld;
• 142 internetdomeinen offline gehaald;
• bijna 27 miljoen gestolen inloggegevens teruggevonden;
• meer dan 385.000 besmette computers geïdentificeerd;
• bijna 15.000 geïnfecteerde websites opgeschoond.

Onder de getroffen websites bevonden zich veel websites van kleine bedrijven die zich er vaak niet van bewust waren dat hun website werd misbruikt om malware te verspreiden.

Microsoft meldde daarnaast dat Amadey en StealC alleen al in de eerste helft van mei verantwoordelijk waren voor meer dan 140.000 besmette computers wereldwijd.

Infostealers vormen groeiende bedreiging voor cryptovaluta

Volgens cybersecurity-experts behoren infostealers inmiddels tot de grootste risico’s voor bezitters van cryptovaluta. Deze malware zoekt actief naar wachtwoorden, privésleutels en herstelcodes waarmee digitale tegoeden kunnen worden gestolen.

Cybercriminelen verspreiden dergelijke malware via uiteenlopende methoden, waaronder neppe AI-programma’s, aangepaste Steam-achtergronden en illegale aanpassingen voor computerspellen.

De omvang van het probleem werd ook zichtbaar tijdens een eerdere fase van Operatie Endgame. Daarbij werden de gegevens ontdekt van meer dan 100.000 cryptowallets waarvan de inloggegevens al waren gestolen, terwijl de wallets op dat moment nog niet waren leeggehaald.

Microsoft onderneemt ook juridische stappen

Naast de internationale politieactie heeft Microsoft in de Verenigde Staten een civiele rechtszaak aangespannen tegen de groepen achter Amadey en StealC.

Met behulp van kunstmatige intelligentie, waaronder Microsoft Copilot, ontdekten onderzoekers dat beide malwarefamilies gebruikmaakten van dezelfde digitale infrastructuur, ondanks dat zij door verschillende cybercriminelen waren ontwikkeld. Daardoor kon Microsoft beide netwerken gezamenlijk aanpakken op basis van de Amerikaanse RICO-wetgeving, die is bedoeld om georganiseerde criminaliteit te bestrijden.

Volgens Microsoft zijn inmiddels meer dan 200 command-and-controlservers uitgeschakeld. Via deze servers sturen cybercriminelen besmette computers op afstand aan. Daarnaast heeft het bedrijf meer dan 18.000 computers van slachtoffers geïdentificeerd en maatregelen genomen om de controle van de aanvallers te verbreken.

Europol waarschuwt dat cyberdreiging blijft bestaan

Hoewel de operatie een belangrijke overwinning is voor de internationale opsporingsdiensten, waarschuwen experts dat cybercriminelen zich snel aanpassen. Nieuwe versies van malware verschijnen regelmatig en criminelen bouwen hun infrastructuur vaak opnieuw op. Zo is deze maand alweer een vernieuwde versie van StealC opgedoken.

Europol adviseert gebruikers daarom alert te blijven en regelmatig te controleren of hun gegevens zijn buitgemaakt. Dat kan onder meer via de website Have I Been Pwned. Wie ontdekt dat persoonlijke gegevens zijn gelekt, doet er verstandig aan wachtwoorden direct te wijzigen en waar mogelijk tweestapsverificatie in te schakelen om accounts en cryptowallets beter te beschermen.