Operation Endgame: 6,4 Millionen gestohlene Logins beschlagnahmt – Sind Sie betroffen?

Europol hat drei große Malware-Netzwerke zerschlagen, die Logins von WordPress-Seiten und Mitarbeitergeräten gestohlen haben. So prüfen Sie, ob Ihr Betrieb betroffen ist.

Diese Woche haben Europol und internationale Partner die nächste Phase von Operation Endgame bekanntgegeben: Sie haben die Infrastruktur hinter drei Malware-Familien zerschlagen, die seit Jahren still und heimlich Zugangsdaten von Unternehmen stehlen – Gootloader, StealC und CastleRAT. Die Zahlen sind beeindruckend: 235 Server und 257 Domains wurden beschlagnahmt, dazu über 6,4 Millionen gestohlene Zugangsdaten direkt aus der Infrastruktur der Kriminellen gesichert.

Wer in der Schweiz ein KMU führt, sollte diese Meldung nicht nur als weit entfernte Polizeiaktion abtun. Sie betrifft direkt Werkzeuge, die viele Betriebe täglich nutzen.

Warum das für Ihr Unternehmen relevant ist

Gootloader infiziert legitime Websites – darunter sehr viele auf WordPress – und nutzt sie, um bei Besuchern unbemerkt weitere Schadsoftware zu platzieren. Laut dem US-Justizministerium hat Gootloader seit 2018 mindestens 25'000 Computer weltweit infiziert, wie The Hacker News berichtet. Allein bei dieser Aktion entfernte die Polizei die Malware von 681 gehackten Websites und beschlagnahmte 14 Server sowie 218 Domains, wie Europols offizielle Operation-Endgame-Seite bestätigt.

StealC und CastleRAT funktionieren anders, verfolgen aber dasselbe Ziel: Sie laufen unbemerkt auf infizierten Geräten und sammeln sämtliche Logins, die Mitarbeitende eingeben – E-Mail, Banking-Portale, Cloud-Admin-Zugänge, Remote-Access-Tools. Europol bestätigt, dass diese gestohlenen Zugangsdaten weiterverkauft wurden, oft für spätere Ransomware-Angriffe.

Viele Schweizer KMU betreiben eine WordPress-Website für Marketing oder Onlineshop, und viele Mitarbeitende verwenden dasselbe Passwort für mehrere Konten. Genau diese Kombination machen sich die drei Malware-Familien zunutze.

Was Sie heute tun sollten

Die Behörden waren in ihrer Empfehlung, über die auch CyberScoop berichtete, klar: WordPress-Betreiber sollten Zugangsdaten aktualisieren, Zwei-Faktor-Authentifizierung aktivieren und offene Sicherheitslücken schließen. Warten Sie nicht auf eine Benachrichtigung – handeln Sie jetzt:

• Prüfen Sie, ob Ihre E-Mail-Adresse oder Domain in den geleakten Daten auftaucht. Die beschlagnahmten Opferdaten werden an Meldestellen weitergegeben, darunter HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation und NL-NCSC. Prüfen Sie Ihre Geschäftsdomain und wichtige Mitarbeitenden-E-Mails, sobald die Daten verfügbar sind.
• Ändern Sie jetzt Passwörter, vor allem für Admin-Konten. Warten Sie nicht auf eine Meldung – wenn Sie WordPress nutzen, ändern Sie das Admin-Passwort und alle Konten mit Veröffentlichungs- oder Plugin-Rechten.
• Aktivieren Sie überall Zwei-Faktor-Authentifizierung – WordPress-Admin, E-Mail, Remote-Access-Tools und Cloud-Dienste wie Microsoft 365. Das allein stoppt die meisten Angriffe mit gestohlenen Zugangsdaten, selbst wenn ein Passwort bereits geleakt wurde.
• Patchen Sie WordPress-Kern, Themes und Plugins. Gootloader setzt auf veraltete oder verwundbare Seiten, um seine Schadsoftware zu platzieren. Eine aktuelle Website ist ein deutlich schwierigeres Ziel.
• Prüfen Sie Mitarbeitergeräte auf Infektionsanzeichen – ungewöhnliche Verlangsamungen, unerwartete Pop-ups oder unbekannte Remote-Access-Software. Wenn StealC oder CastleRAT auf ein Gerät gelangt ist, reicht ein Passwort-Reset allein oft nicht – das Gerät selbst muss bereinigt werden.
• Erinnern Sie Mitarbeitende daran, Passwörter nicht mehrfach zu verwenden – weder zwischen privaten noch geschäftlichen Konten. Ein auf einer Seite gestohlenes Passwort wird oft überall sonst ausprobiert.

Das grössere Bild

Operation Endgame gehört zu den grössten koordinierten Polizeiaktionen gegen Infrastruktur für Zugangsdatendiebstahl der letzten Zeit – und sie zeigt: Gestohlene Logins bleiben nicht still liegen, sie werden weiterverkauft und befeuern oft Monate später Ransomware-Angriffe. Zugangsdatendiebstahl, mit Malware verseuchte Websites und KI-gestütztes Hacking gehören inzwischen zum Alltag jedes Unternehmens, nicht nur großer Konzerne.

Wir beobachten dieses Thema weiter und berichten, was Schweizer Unternehmerinnen und Unternehmer jetzt konkret tun müssen. Wer die laufende Überwachung von Patches, Zwei-Faktor-Authentifizierung und grundlegender IT-Sicherheit lieber abgibt, findet bei TMC (The Mejlerö Company GmbH) genau diese Art von Alltagsunterstützung für KMU in Obwalden, Nidwalden, Luzern und Zürich – inklusive Microsoft-365-Administration, Endpoint-Schutz und Einrichtung der Zwei-Faktor-Authentifizierung. Eine kostenlose Netzwerk-Analyse und eine kostenlose einstündige Beratung stehen zur Verfügung, wenn Sie eine zweite Meinung zum aktuellen Stand Ihrer IT-Sicherheit wünschen.