Un nouveau revers pour les cybercriminels grâce à l’opération Endgame

Lancée en mai 2024, l’opération Endgame se poursuit en 2025 avec un second coup de filet international. Les forces de l’ordre frappent maintenant les utilisateurs finaux des services criminels débusqués l’an dernier.

Un an après le spectaculaire démantèlement de plusieurs infrastructures majeures de cybercriminalité, l’opération Endgame fait son retour avec une nouvelle série d’actions ciblées. Cette fois, ce ne sont plus les fournisseurs de malwares, mais leurs clients qui tombent dans les filets des autorités. Coordonnée à l’échelle transatlantique, cette offensive vise les individus ayant acheté l’accès à des machines compromises via le botnet Smokeloader, orchestré par un cybercriminel connu sous le pseudonyme de « Superstar ». En frappant cette « demande » criminelle, les forces de l’ordre entendent perturber durablement un modèle économique bien rôdé : celui du crime informatique à la carte. La traque des cyber délinquants entre ainsi dans une nouvelle phase stratégique.

Smokeloader, au cœur de la nouvelle cible

Dans la galaxie des botnets, Smokeloader occupe une place à part. Utilisé comme une véritable passerelle vers les ordinateurs infectés à travers le monde, il permettait aux clients de déployer leur propre arsenal malveillant, allant des enregistreurs de frappe (keylogger) aux ransomwares en passant par les logiciels espions (infostealers, Etc) et les mineurs de cryptomonnaies. Opéré par un acteur connu sous le nom de « Superstar », Smokeloader proposait un service de type « pay-per-install », monnayant l’accès à des machines compromises contre quelques centaines de dollars – soit environ 90 à 450 euros selon les cas.

Ce modèle de blackmarket permettait à des cybercriminels de second niveau, souvent moins expérimentés, de louer des accès plutôt que de développer leurs propres outils. C’est cette clientèle que les forces de l’ordre ciblent désormais, en s’appuyant sur une base de données saisie lors de la première vague d’Endgame. Cette base, minutieusement reconstruite par les techniciens de la police judiciaire française à Rennes, a permis d’identifier des dizaines d’utilisateurs. Parmi eux, plusieurs ont déjà été interpellés, perquisitionnés ou soumis à des procédures judiciaires.

Les clients du botnet Smoke loader pensaient acheter l’anonymat ; ils ont en réalité acheté leur propre traçabilité.

Service de Veille ZATAZ – 96% de satisfaction

Une offensive européenne minutieusement coordonnée

L’opération Endgame ne se limite pas à une simple série d’arrestations : elle incarne un tournant dans la coopération internationale en matière de lutte contre la cybercriminalité. À Paris, les cyber-enquêteurs de l’OFAC (Office anti-cybercriminalité) ont identifié et interpellé un individu ayant acheté des accès à des machines infectées. Cette arrestation a été menée sous la supervision du Parquet de Paris, section J3, spécialisée dans les infractions numériques. En parallèle, les autorités judiciaires et policières d’Allemagne, des Pays-Bas, du Canada, du Danemark, de la République tchèque et des États-Unis ont mobilisé leurs services spécialisés.

L’action a été soutenue par Europol et la J-CAT (Joint Cybercrime Action Taskforce), qui ont joué un rôle central dans le partage d’informations, la coordination des enquêtes et l’analyse forensique des données saisies. Au siège d’Europol, à La Haye, plusieurs réunions opérationnelles et « sprints » tactiques ont permis d’harmoniser les interventions transfrontalières.

Des cybercriminels pris à leur propre piège

L’une des ironies de cette affaire tient au fait que nombre de clients de Smokeloader pensaient rester anonymes. En réalité, leur inscription à ce service les rendait particulièrement vulnérables. Les pseudonymes, adresses IP, méthodes de paiement et historiques de connexions laissés dans les bases de données sont autant de traces que les enquêteurs ont patiemment reconstituées pour remonter jusqu’aux identités réelles.

Certains suspects ont été confrontés à ces preuves lors d’interrogatoires. Plusieurs ont préféré coopérer, fournissant leurs équipements numériques et facilitant leur analyse. D’autres, plus téméraires, avaient revendu les services de Smoke loader avec une marge, se transformant en intermédiaires dans ce marché illicite. Ce rôle secondaire, mais lucratif, leur confère désormais une responsabilité accrue aux yeux de la justice.

De simples utilisateurs sont devenus revendeurs de services criminels, aggravant leur implication dans un système qu’ils pensaient discret.

Vers une dissuasion plus ciblée

Cette nouvelle phase de l’opération Endgame marque un glissement stratégique : après avoir frappé les fournisseurs, les autorités attaquent la demande. Une approche comparable à celle des politiques antidrogue, où l’acheteur est désormais aussi poursuivi que le dealer. Ce tournant vise à briser l’économie parallèle des cyber outils, souvent commercialisés sous forme de « crime-as-a-service ». L’idée est claire : rendre l’accès aux cyberarmes aussi risqué que leur usage.

Cette approche vise également à briser l’illusion d’impunité qui entoure encore nombre d’internautes impliqués dans des activités illicites. Le message envoyé est sans équivoque : aucune donnée n’est totalement à l’abri, surtout lorsqu’elle est confiée à d’autres cybercriminels. L’arrestation de clients de Smokeloader illustre cette nouvelle réalité. Certains, pensant que l’effondrement de la plateforme signifiait la fin des poursuites, ont baissé la garde. Ils ont été rattrapés par des preuves qu’ils croyaient effacées.

Un site dédié pour poursuivre la traque

Dans une démarche inédite, les forces de l’ordre ont mis en ligne un site internet – operation-endgame.com – permettant à toute personne disposant d’informations sur ces réseaux d’agir de manière confidentielle. Ce canal de communication ouvert vise non seulement à recueillir de nouveaux témoignages, mais aussi à adresser un message clair aux suspects non encore identifiés : ils sont toujours dans le viseur des autorités.

À l’heure où les services criminels se consomment en quelques clics, la réponse policière s’adapte. Grâce à une combinaison d’analyses techniques poussées, de coopération judiciaire internationale et d’exploitation stratégique des données, les enquêteurs progressent dans un univers pourtant conçu pour échapper à leur regard.

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à la newsletter de ZATAZ. Rejoignez également notre groupe WhatsApp et nos réseaux sociaux pour accéder à des informations exclusives, des alertes en temps réel et des conseils pratiques pour protéger vos données.