Chiến dịch quốc tế triệt phá mạng lưới malware Amadey và StealC, thu hồi 27 triệu thông tin đăng nhập

Một chiến dịch thực thi pháp luật quốc tế với sự tham gia của nhiều tập đoàn công nghệ lớn như Microsoft, Bitdefender, ESET và Bitsight vừa đạt được thành công đáng kể khi triệt phá thành công hạ tầng tội phạm đứng sau hai dòng malware phổ biến: Amadey và StealC.

Theo Europol, mục tiêu cốt lõi của chiến dịch này là phá vỡ các “dây chuyền sản xuất” mà tội phạm mạng sử dụng để phát tán ransomware, thực hiện gian lận tài chính và tấn công vào các hạ tầng trọng yếu. Chỉ trong vòng hai tuần, các cơ quan chức năng đã vô hiệu hóa 326 server và 142 tên miền, đồng thời phong tỏa hơn 47 triệu USD tài sản tiền điện tử có nguồn gốc bất hợp pháp.

Hệ sinh thái Malware-as-a-Service (MaaS)

Cả Amadey và StealC đều hoạt động theo mô hình Malware-as-a-Service (MaaS), cho phép các đối tượng tội phạm thuê công cụ để phát tán payload hoặc đánh cắp dữ liệu nhạy cảm từ các thiết bị bị lây nhiễm. Trong khi Amadey đóng vai trò là một loader (trình tải xuống) để cài đặt các loại malware giai đoạn sau, thì StealC tập trung vào việc trích xuất thông tin như cookie phiên, mật khẩu, dữ liệu trình duyệt và ví tiền điện tử.

Các chuyên gia bảo mật từ ESET cho biết, sự khác biệt nằm ở mô hình kinh doanh: Amadey sử dụng cơ chế “pay-per-rebuild” (trả phí mỗi khi tạo bản dựng mới), trong khi StealC cung cấp quyền tạo bản dựng không giới hạn thông qua đăng ký thuê bao, giúp tội phạm dễ dàng thay đổi hạ tầng C2 (Command and Control).

Dấu ấn của Operation Endgame

Chiến dịch này là một phần của Operation Endgame, với sự phối hợp của nhiều quốc gia như Mỹ, Đức, Hà Lan, Canada và Anh. Microsoft cho biết chỉ riêng trong hai tuần đầu tháng 5/2026, họ đã xác định được hơn 18.000 thiết bị nạn nhân và cắt đứt sự kiểm soát của tội phạm đối với các thiết bị này.

Một chi tiết đáng chú ý là các nhà nghiên cứu đã phát hiện ra nhiều lỗ hổng bảo mật ngay trong chính bảng điều khiển của StealC, bao gồm cả lỗi directory traversal cho phép upload web shell. Điều này cho thấy ngay cả trong giới tội phạm mạng, các đối tượng cũng thường xuyên khai thác lẫn nhau.

Việc triệt phá các loader và stealer được coi là đòn giáng mạnh vào “chuỗi cung ứng” tội phạm mạng. Bằng cách chặn đứng giai đoạn thâm nhập ban đầu, các cơ quan chức năng hy vọng sẽ làm suy yếu đáng kể khả năng triển khai các cuộc tấn công quy mô lớn trong tương lai.

Nguồn tham khảo: The Hacker News