Im Rahmen der internationalen Operation „Endgame“ unterstützte der IT-Sicherheitshersteller ESET die Zerschlagung des Amadey-Botnetzes und des Stealc-Infostealers. Dafür lieferten die ESET-Researcher technische Analysen, statistische Informationen, bekannte Command-and-Control-Server (C&C), Verschlüsselungsschlüssel, Kampagnen- und Build-Kennungen sowie weitere Erkenntnisse aus der Threat Intelligence, die im Rahmen der langjährigen Beobachtung beider Malware-Familien gesammelt wurden. Diese Daten halfen Strafverfolgungsbehörden, die Infrastruktur mit hoher Sicherheit zu identifizieren, zu priorisieren und dagegen vorzugehen.
Die Operation wurde von der Microsoft Digital Crimes Unit (DCU), BitSight, Lumen und Mitsui Bussan Secure Directions (MBSD) koordiniert und richtete sich gegen die gesamte bekannte Netzwerkinfrastruktur, die von den Affiliates von Amadey und Stealc für ihre cyberkriminelle Aktivitäten genutzt wurden. Parallel dazu untersuchten das European Cybercrime Centre (EC3) von Europol und europäische Strafverfolgungsbehörden, darunter das Bundeskriminalamt sowie die niederländische und die dänische Nationalpolizei, Stealc im Rahmen der Operation Endgame. Unterstützt wurden sie dabei von IBM und Proofpoint.
Weltweiter Einsatz ohne regionalen Schwerpunkt
Die Telemetriedaten von ESET zeigen, dass Amadey weltweit verbreitet war, ohne einen klaren regionalen Schwerpunkt. Die höchsten Erkennungsraten wurden in Indien, der Türkei, Ägypten, Mexiko und Spanien registriert. Auch Stealc wurde weltweit verbreitet und zeigte keine regionale Fokussierung. Die höchsten Erkennungsraten verzeichnete ESET in den USA, Polen und Italien.
„ESET verfolgt das Amadey-Botnetz und den Stealc-Infostealer seit drei Jahren. Für die Operation haben wir Statistiken für den Zeitraum vom vierten Quartal 2025 bis zur ersten Jahreshälfte 2026 sowie technische Indikatoren und Konfigurationsdaten aus analysierten Malware-Samples bereitgestellt“, erklärt ESET-Forscher Jakub Tomanek, der die Maßnahmen gegen Amadey und Stealc unterstützte. „Unsere automatisierten Systeme analysieren Amadey- und Stealc-Samples kontinuierlich und identifizieren die für groß angelegtes Tracking wichtigsten Merkmale. Dazu zählen C&C-Server, Build-Kennungen, Verschlüsselungsschlüssel, URL-Pfade, Kampagnenkennungen und weitere in den Malware-Familien eingebettete Werte, die bei der Kommunikation mit von Angreifern kontrollierter Infrastruktur verwendet werden“, ergänzt er.
Malware-as-a-Service-Angebote von Amadey und Stealc
Amadey ist ein modularer Malware-Loader. Seine Hauptaufgabe besteht darin, weitere Schadsoftware auf kompromittierte Systeme zu verteilen. Darüber hinaus bietet er Module zur Datenexfiltration und für den Fernzugriff. Stealc hingegen ist ein klassischer Infostealer as a Service. Die Malware zielt auf Zugangsdaten, Cookies, Kryptowallets, Browser-Erweiterungen und Dateien ab, die von Affiliates anhand definierter Muster ausgewählt werden.
Beide Malware-Familien werden als Service angeboten und in Darknet-Foren beworben. In beiden Ökosystemen erhalten Affiliates ein selbst gehostetes Administrationspanel, das auf der eigenen Serverinfrastruktur betrieben werden muss. Das setzt ein gewisses technisches Know-how voraus und verschafft den Affiliates die direkte Kontrolle über die Daten der Opfer sowie über die Verteilung weiterer Schadsoftware.
Welche Verbreitungsmethoden eingesetzt werden, hängt letztlich vom jeweiligen Affiliate ab. Die Telemetriedaten von ESET zeigen jedoch, dass beide Malware-Familien über zahlreiche Kanäle verbreitet wurden. Zu den häufigsten Methoden gehörten gefälschte Software-Updates, Installer für gecrackte Software sowie Malware-Loader von Drittanbietern.
Geschäftsmodelle der Malware-Betreiber
Amadey nutzte ein Pay-per-Rebuild-Modell. Affiliates erwarben zunächst eine Lizenz und zahlten anschließend für jede neue Build-Version eine zusätzliche Gebühr, beispielsweise beim Wechsel auf einen neuen C&C-Server. Die Betreiber stellten Affiliates also kein Builder-Tool zur Verfügung, sondern kompilierten neue Samples auf Anfrage. Zusätzlich bietet Amadey drei Module für Datenexfiltration und Fernzugriff: ein Modul zur Überwachung der Zwischenablage, ein Modul zum Diebstahl von Zugangsdaten sowie ein VNC-basiertes Remote-Access-Modul. Der Preis für eine Lizenz beträgt 600 US-Dollar in Bitcoin, hinzu kommen 50 US-Dollar pro Rebuild.
Stealc verfolgt einen stärker auf Affiliates ausgerichteten Ansatz und ermöglicht die unbegrenzte Erstellung neuer Builds innerhalb des Abonnements. Dadurch sinken die Kosten für den Wechsel der C&C-Infrastruktur und Affiliates können bei Bedarf unkompliziert neue Samples erzeugen. Die Malware greift auf eine Vielzahl von Datenquellen zu, darunter Zugangsdaten aus Webbrowsern, E-Mail-Clients, FTP-Programmen, Gaming-Plattformen, Dateien von Kryptowallets sowie Browser-Erweiterungen. Stealc wird als Abonnement angeboten. Das günstigste Paket kostet 1.000 US-Dollar für sechs Monate.
Um Betrugsversuche durch Identitätsfälschungen zu vermeiden, wiesen die Betreiber potenzielle Affiliates in Darknet-Foren ausdrücklich an, ausschließlich offizielle Kontaktwege zu nutzen. Amadey verwies auf private Nachrichten im jeweiligen Darknet-Forum, während Stealc private Nachrichten in Darknet-Foren oder über Telegram nutzte.
ESET wird beide Malware-Familien weiterhin beobachten und mögliche Versuche verfolgen, die Infrastruktur nach der Zerschlagung wieder aufzubauen.
Weitere Informationen zur Operation gegen Amadey und Stealc finden sich im Blog von ESET Research „Operation Endgame“: ESET beteiligt sich an der Abschaltung von Amadey und Stealc“ auf WeLiveSecurity.com. Aktuelle Informationen von ESET Research gibt es außerdem auf X, BlueSky und Mastodon.