Rhadamanthys, VenomRAT ו-Elysium: Europol השביתה או שיבשה 1,025 שרתים
בין 10 ל-14 בנובמבר 2025 שיבשו רשויות מ-11 מדינות את Rhadamanthys, VenomRAT ו-Elysium. המשטרה העבירה ל-Have I Been Pwned כ-2 מיליון כתובות דוא״ל שנפגעו.
TL;DR בקצרה
- Europol מסרה שהשלב האחרון של Operation Endgame שיבש 1,025 שרתים, תפס 20 דומיינים וחיפש ב-11 מקומות.
- החשוד המרכזי ב-VenomRAT נעצר ביוון ב-3 בנובמבר 2025.
- לפי Europol, התשתית הדביקה מאות אלפי מחשבים וגנבה כמה מיליוני פרטי גישה, ורבים מהקורבנות לא ידעו.
- אפשר לבדוק אם הדוא״ל שלכם בין הנפגעים ב-Have I Been Pwned, שקיבל כ-2 מיליון כתובות ו-7.4 מיליון סיסמאות.
בין 10 ל-14 בנובמבר 2025 שיבשו Europol ורשויות מ-11 מדינות שלושה כלי פשיעת סייבר: Rhadamanthys, VenomRAT ו-Elysium. Rhadamanthys היא נוזקה שגונבת סיסמאות. לפי הודעת Europol, זה השלב האחרון ב-Operation Endgame, המבצע נגד תשתיות נוזקה.
מה זה Rhadamanthys, ומי נפגע
Rhadamanthys היא infostealer, נוזקה שגונבת מידע ממחשב נגוע. לפי Help Net Security, היא לוקחת סיסמאות, נתוני דפדפן, מילוי אוטומטי ופרטי ארנקי קריפטו. הפושעים משכירים אותה כשירות. הלקוחות מפיצים אותה לבד ואוספים את המידע בלוח בקרה באינטרנט.
לפי Europol, התשתית הדביקה מאות אלפי מחשבים וגנבה כמה מיליוני פרטי גישה. היא מסרה שרבים מהקורבנות לא ידעו על הזיהום. החשוד המרכזי ב-Rhadamanthys גם החזיק, לפי הדיווח, גישה למעל 100 אלף ארנקי קריפטו של קורבנות. שווי הארנקים עשוי להגיע למיליוני יורו.
VenomRAT הוא כלי שליטה מרחוק. לפי Help Net Security, הוא גונב קבצים, ארנקי קריפטו, נתוני דפדפן, פרטי כרטיסי אשראי ועוגיות הזדהות. על Elysium אין הרבה מידע ציבורי. Europol מגדירה אותו בוטנט, רשת מכשירים נגועים.
מה עשו הרשויות נגד Rhadamanthys וחבריו
לפי The Record, הפעולה השביתה או שיבשה 1,025 שרתים בעולם. היא תפסה 20 דומיינים, והמשטרה חיפשה ב-11 מקומות: אחד בגרמניה, אחד ביוון ותשעה בהולנד. החשוד המרכזי ב-VenomRAT נעצר ביוון ב-3 בנובמבר 2025.
אתר ההפצה של VenomRAT עבר לידי הרשויות, ובמקומו מוצג מסך אזהרה מפני חקירה ותביעה. לפי Proofpoint, שמצוטטת ב-Help Net Security, גם דומיין הרישוי של הכלי הושבת. הרשויות פנו ישירות גם ללקוחות של שירותי הנוזקה, וביקשו מהם לשתף מידע על infostealers.
לא פורסם שמפעיל Rhadamanthys נעצר. סרטון באתר Operation Endgame מרמז שהחוקרים רוצים לזהות אותו ואת לקוחותיו. לפי Proofpoint, שותפים של הכלי יצטרכו נוזקה חלופית, למשל Amatera Stealer, Monster V2 או CastleRAT.
ההשבתה עוצרת נוזקות חדשות, אבל היא לא מנקה קורבנות קיימים. סיסמאות שכבר נגנבו נשארות בידי הפושעים, והן בתוקף עד שבעליהן מחליפים אותן. לכן הבדיקה האישית חשובה גם אחרי הפעולה.
איך בודקים אם הדוא״ל שלכם בין הנפגעים
המשטרה זיהתה כ-2 מיליון כתובות דוא״ל ו-7.4 מיליון סיסמאות שנגנבו. את הנתונים היא העבירה ל-Have I Been Pwned, והם נוספו ב-13 בנובמבר 2025 כמאגר Operation Endgame 3.0. לפי The Record, אפשר לבדוק גם באתר המשטרה ההולנדית, politie.nl/checkyourhack.
ארגון שמפעיל רשת יכול לקבל נתונים על מחשבים נגועים מ-Shadowserver. הארגון פרסם דוח היסטורי על זיהומי Rhadamanthys והעביר אותו ל-201 צוותי CSIRT לאומיים ב-175 מדינות ולמעל 10,000 בעלי רשתות. לפי Shadowserver, אפשר להירשם לדוחות בחינם.
מה זה אומר עבורכם
- בדקו את הדוא״ל שלכם: הזינו אותו ב-Have I Been Pwned וחפשו את המאגר Operation Endgame 3.0.
- אם הכתובת מופיעה, החליפו סיסמאות: עשו זאת ממחשב נקי, ואז סרקו את המחשב הנגוע.
- נתקו התחברויות פעילות: VenomRAT גונב עוגיות הזדהות, ולכן החלפת סיסמה לבדה לא מספיקה.
- הזיזו קריפטו לארנק חדש: אם היה ארנק על מחשב נגוע, צרו ארנק חדש והעבירו אליו את הכספים.
- בארגון, בקשו דוח מ-Shadowserver: הוא מציג כתובות IP של מחשבים נגועים ברשת שלכם.
מה קרה מאז
ב-2 בדצמבר 2025 פרסמה Shadowserver דוח שני על Rhadamanthys. הוא הוסיף נתוני קורבנות שנלקחו מהתשתית שהרשויות תפסו. ב-15 בדצמבר 2025 היא הפיקה את הדוח מחדש.
מקורות והרחבה
- End of the game for cybercrime infrastructure: 1025 servers taken downEuropol
- Operation Endgame, part 3The Record
- Rhadamanthys infostealer operation disrupted by law enforcementHelp Net Security
- Operation Endgame 3.0 data breachHave I Been Pwned
- Rhadamanthys Historical Bot Infections Special ReportShadowserver
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
