La storia è passata dalla pubblicazione dei compromessi allo smontaggio delle linee di produzione che li rendono scalabili. Togliere di mezzo i server e i domini usati da Amadey e StealerC significa colpire la capacità operativa dei gruppi, non solo esporre ciò che avevano già rubato: senza quella base, il furto di credenziali perde la macchina che lo distribuisce su massa.
Nell’azione coordinata del 15-19 giugno, law enforcement e partner privati hanno agito su 326 server e 142 domini legati a più infrastrutture criminali, tra cui SocGholish, Amadey e StealerC. Sono stati recuperati quasi 30 milioni di credenziali rubate da StealerC tra il 4 luglio 2025 e il 16 giugno 2026, e Shadowserver sta distribuendo parte di quel materiale per aiutare a bonificare host Windows storici e recenti.
Per i team che inseguono il solo malware familiare, il punto cambia: il blocco della distribuzione può far emergere credenziali di vecchie infezioni e riaprire compromessi che sembravano chiusi. Dove c’è riuso di password o una base di endpoint Windows ampia, il dato recuperato diventa intelligence retrospettiva, non semplice residuo di un sequestro.