L’operazione internazionale coordinata da Europol ed Eurojust ha neutralizzato 326 server e 142 domini. Le autorità hanno recuperato 27 milioni di credenziali rubate e bloccato asset in criptovalute per oltre 41 milioni di euro.
Una nuova fase di Operation Endgame ha colpito le infrastrutture informatiche utilizzate per distribuire SocGholish, Amadey e StealC, tre malware impiegati per ottenere il primo accesso ai dispositivi, sottrarre informazioni e preparare attacchi ransomware o frodi finanziarie.
Le azioni coordinate nelle due settimane precedenti al 24 giugno 2026 hanno interessato 326 server e 142 domini. Le autorità e le aziende coinvolte hanno inoltre recuperato circa 27 milioni di credenziali di accesso rubate.
Secondo Europol, gli investigatori hanno identificato e sottoposto a restrizioni asset in criptovalute di origine criminale per un valore superiore a 41 milioni di euro, circa 47 milioni di dollari.
L’operazione ha coinvolto forze dell’ordine e autorità giudiziarie di Canada, Danimarca, Germania, Paesi Bassi, Regno Unito e Stati Uniti. Europol ed Eurojust hanno coordinato l’attività internazionale, con il supporto di Microsoft e di numerosi partner privati specializzati nella sicurezza informatica.
Colpita la catena industriale del cybercrime
L’obiettivo dell’operazione non consisteva soltanto nella rimozione di singoli malware. Le autorità hanno cercato di interrompere quella che Europol definisce la catena di montaggio della criminalità informatica.
SocGholish, Amadey e StealC occupano fasi diverse della catena d’attacco. Alcuni componenti permettono l’ingresso iniziale nel sistema, mentre altri sottraggono password, cookie, token di sessione e identità digitali.
Queste informazioni possono passare agli initial access broker, intermediari che verificano e rivendono l’accesso alle reti compromesse. Gli acquirenti possono poi usare le credenziali per frodi, furti di dati, estorsioni o attacchi ransomware.
Il modello rientra nel cosiddetto cybercrime-as-a-service. Gli sviluppatori offrono malware, pannelli di controllo e infrastrutture in affitto o tramite abbonamento, così anche operatori con competenze tecniche limitate possono condurre campagne su vasta scala.
SocGholish distribuito tramite falsi aggiornamenti
SocGholish, noto anche come FakeUpdates, sfrutta siti web compromessi per mostrare falsi avvisi di aggiornamento del browser o di altri programmi.
La pagina invita l’utente a installare un aggiornamento che appare legittimo. Il file contiene invece un loader che apre un canale di accesso verso il dispositivo e consente agli aggressori di introdurre ulteriori strumenti malevoli.
Europol attribuisce SocGholish al gruppo criminale russo Evil Corp, già associato ai malware Zeus e Dridex, oltre che a diverse operazioni ransomware e di riciclaggio di denaro.
Durante l’azione internazionale, i partner hanno ripulito 14.971 siti infetti, tra i quali portali di ristoranti, officine e altre attività comuni. Molti dei siti compromessi utilizzavano WordPress.
Gli aggressori sfruttavano vulnerabilità, plugin obsoleti, credenziali deboli o account amministrativi violati per inserire il codice responsabile dei falsi aggiornamenti.
Le indicazioni per chi gestisce un sito WordPress
La polizia olandese ha rimosso le vulnerabilità da numerosi siti interessati e ha contattato i rispettivi proprietari. Un sito ripulito, però, può subire una nuova compromissione quando le cause dell’accesso iniziale restano presenti.
Europol raccomanda agli amministratori WordPress di modificare le credenziali, attivare l’autenticazione a più fattori, eliminare gli account sconosciuti e installare gli aggiornamenti del CMS, dei temi e dei plugin.
È opportuno anche controllare gli utenti con privilegi amministrativi, le attività pianificate, i file modificati di recente e l’eventuale presenza di plugin installati senza autorizzazione.
La sostituzione della sola password può risultare insufficiente quando l’attaccante ha creato un nuovo account, inserito una backdoor o sottratto token di sessione ancora validi.
StealC sottrae password, cookie e portafogli crypto
StealC è un infostealer disponibile secondo il modello malware-as-a-service. Gli operatori possono usare un builder per creare varianti personalizzate e accedere a un pannello web dedicato alla gestione dei dati sottratti.
Il malware raccoglie credenziali salvate nei browser, cookie di sessione, dati di compilazione automatica, cronologia, informazioni sui sistemi compromessi e contenuti collegati alle estensioni per portafogli di criptovalute.
StealC può anche colpire client di posta, applicazioni di messaggistica, programmi per il trasferimento dei file e piattaforme di gioco. Alcune versioni acquisiscono schermate del desktop e scaricano altri payload.
I cookie e i token di sessione assumono un valore particolare perché possono consentire l’accesso a un account anche dopo il superamento dell’autenticazione a più fattori.
Un’infezione sul computer personale di un dipendente può quindi esporre credenziali aziendali, accessi VPN, account cloud o sessioni Single Sign-On. Il rischio raggiunge l’impresa anche quando il dispositivo infetto resta fuori dalla rete gestita.
Amadey apre la strada ad altri malware
Amadey opera soprattutto come loader, cioè come strumento che introduce altri malware nel dispositivo compromesso. Le campagne di phishing rappresentano uno dei principali canali di distribuzione.
Dopo il primo accesso, Amadey può scaricare infostealer, trojan bancari o altri componenti scelti dall’operatore. Il malware dispone anche di funzioni proprie per la raccolta di informazioni.
La combinazione tra Amadey e StealC crea una catena efficace: il primo raggiunge il dispositivo e installa il secondo, che estrae credenziali e dati sensibili.
Microsoft ha rilevato collegamenti tra i due malware e oltre 140.000 dispositivi infetti nel mondo nelle prime due settimane di maggio 2026.
Il ruolo di Microsoft nell’operazione
La Digital Crimes Unit di Microsoft ha collaborato con Europol e con i partner industriali per colpire l’infrastruttura di Amadey e StealC.
L’azienda ha identificato oltre 200 domini e indirizzi IP malevoli usati per le comunicazioni di comando e controllo. Le contromisure hanno incluso ordini giudiziari, sequestri di domini, registrazioni preventive e segnalazioni ai fornitori dei servizi.
Microsoft ha usato anche strumenti basati su Copilot per accelerare l’analisi dei file malevoli, estrarre configurazioni, decifrare stringhe e individuare gli indirizzi dei server incorporati nei malware.
L’intervento congiunto ha permesso di colpire più componenti nello stesso momento. Questa strategia riduce la possibilità che gli operatori spostino rapidamente le vittime verso un’infrastruttura alternativa.
Ventisette milioni di credenziali recuperate
Le autorità hanno recuperato circa 27 milioni di credenziali e insiemi di dati compromessi. Le informazioni saranno usate anche per avvisare le persone e le organizzazioni interessate.
Le notifiche coinvolgono servizi e organizzazioni come Have I Been Pwned, DIVD, Spamhaus, CheckjeHack, NoMoreLeaks, Shadowserver e il National Cyber Security Centre dei Paesi Bassi.
La presenza di una credenziale nei dati recuperati non dimostra che un account abbia già subito un uso illecito. Indica però che la password, il cookie o un altro elemento di autenticazione potrebbe essere finito nelle mani di criminali.
Gli utenti coinvolti dovrebbero cambiare le password, evitare il riutilizzo delle stesse credenziali su più servizi, revocare le sessioni attive e controllare accessi o modifiche sospette.
Quando possibile, conviene adottare passkey o chiavi hardware conformi a FIDO2. Questi metodi offrono una maggiore resistenza al phishing rispetto ai codici ricevuti tramite SMS.
Come riconoscere i falsi aggiornamenti
SocGholish sfrutta avvisi che imitano le finestre di aggiornamento dei browser. La grafica può apparire credibile e includere loghi, colori e istruzioni simili a quelli dei produttori originali.
Un aggiornamento autentico non richiede di scaricare un file da un pop-up apparso durante la visita a un sito casuale. Browser e sistemi operativi distribuiscono gli aggiornamenti tramite le impostazioni interne, gli store ufficiali o i canali del produttore.
Un avviso che insiste sull’urgenza, occupa l’intera schermata o chiede di eseguire manualmente comandi deve suscitare sospetti. Anche un aspetto professionale non prova la legittimità del contenuto.
Prima di installare un aggiornamento, è preferibile chiudere la pagina e aprire direttamente le impostazioni del programma. Le aziende possono ridurre il rischio attraverso sistemi centralizzati per la distribuzione e il controllo del software.
Operation Endgame contro i facilitatori del ransomware
Operation Endgame rappresenta una delle principali iniziative internazionali contro le infrastrutture che favoriscono ransomware, infostealer e servizi di accesso iniziale.
La strategia punta a colpire i passaggi preliminari degli attacchi, prima che i criminali installino il ransomware o trasferiscano i dati all’esterno.
Europol ha fornito coordinamento operativo, analisi tecnica e supporto alle indagini finanziarie attraverso lo European Cybercrime Centre. Eurojust ha favorito il coordinamento tra le autorità giudiziarie e la sincronizzazione delle misure nei diversi Paesi.
L’intervento su SocGholish, Amadey e StealC conferma il peso delle collaborazioni tra istituzioni pubbliche e aziende private. Registrar, provider, società di sicurezza e piattaforme di notifica dispongono di dati e capacità tecniche che possono accelerare l’identificazione e la rimozione delle infrastrutture malevole.
La neutralizzazione dei server non elimina in modo definitivo le famiglie di malware. Gli operatori possono ricostruire parte delle reti, cambiare domini o modificare il codice. Il sequestro simultaneo di più componenti aumenta però i costi, interrompe le campagne attive e limita l’accesso ai dati rubati.
Meta SEO
Meta title: Operation Endgame colpisce SocGholish, Amadey e StealC
Meta description: Europol neutralizza 326 server e 142 domini legati a SocGholish, Amadey e StealC. Recuperate 27 milioni di credenziali rubate.
Slug: operation-endgame-socgholish-amadey-stealc
