Opération ENDGAME : démantèlement de codes cybercriminels

Une opération de coopération judiciaire internationale, lancée en mai 2024 et impliquant plusieurs autorités européennes et nord-américaines, a conduit entre le 19 et le 23 mai 2025 au démantèlement de plusieurs infrastructures associées à des codes cybercriminels.

L’ANSSI a apporté son soutien en identifiant les victimes potentielles et en diffusant des recommandations de sécurité. Les codes concernés — BumbleBee, Danabot, HijackLoader, Latrodectus, WarmCookie et Lumma — servent d’entrée initiale dans les systèmes d’information pour exfiltrer des données ou déployer d’autres malwares, dont des rançongiciels.

Caractéristiques des codes malveillants ciblés

• BumbleBee : chargeur malveillant actif depuis mars 2022, utilisé pour obtenir un premier accès et déployer des outils offensifs ou des rançongiciels. Distribué via hameçonnage, publicités ou sites malveillants imitant des logiciels légitimes.
• Danabot : loader modulaire commercialisé sur des forums cybercriminels depuis mai 2018, permettant l’exfiltration de données et l’enregistrement de frappes clavier. Déployé via campagnes d’hameçonnage ou sites compromis.
• HijackLoader : identifié en 2023, doté de capacités de reconnaissance et d’exfiltration. Utilisé pour assurer un accès persistant et déployer des malwares tiers comme Amadey ou Lumma.
• Latrodectus : loader apparu en 2023, capable de vols d’informations et d’obtention d’accès persistants. Déployé via campagnes de faux captcha ou par d’autres malwares comme DanaBot.
• WarmCookie : porte dérobée pour Windows active depuis au moins 2024, utilisée pour un accès persistant et le déploiement de charges supplémentaires, dont des rançongiciels.
• Lumma : code malveillant mentionné parmi les cibles de l’opération, sans détail supplémentaire dans le document.