Europol, junto con fuerzas de seguridad de nueve países, desmanteló la infraestructura de tres programas maliciosos que subyacían a contraseñas y posibilitaban el acceso remoto a equipos: Gootloader, CastleRAT y StealC. Las autoridades realizaron la incautación de 235 servidores y 257 dominios, y aseguraron 6,4 millones de conjuntos de datos de víctimas. Esta acción corresponde a una nueva fase de la Operación Endgame, descrita por Europol como el mayor esfuerzo internacional para cortar a quienes facilitan ataques de ransomware. Más de 30 socios del sector público y privado participan en la operación, y Eurojust respaldó el intercambio de información entre fiscalías.
Las operaciones se llevaron a cabo con la participación de Bulgaria, Canadá, Dinamarca, Alemania, Moldavia, Países Bajos, Polonia, Reino Unido y Estados Unidos. En el caso estadounidense, el comunicado menciona al FBI, al Defence Criminal Investigation Service (DCIS) y a la sección de delitos informáticos del Departamento de Justicia.
Según Europol, las tres herramientas se ofrecían como un servicio alquilable para otros delincuentes, de modo que los clientes podían desplegar ransomware o extraer datos sin necesidad de desarrollar sus propios programas.
Gootloader se distribuía a través de documentos legales falsificados alojados en sitios comprometidos, con frecuencia páginas hechas con WordPress. Quien descargaba el archivo quedaba infectado. En este operativo se desactivaron 218 dominios y se limpiaron 681 sitios afectados.
CastleRAT es un troyano de acceso remoto visible desde 2025, que permite controlar una computadora a distancia. Europol atribuye su uso al cifrado de numerosos conjuntos de datos, la interrupción de sistemas completos y el cobro de rescates por parte de empresas y organizaciones.
StealC está diseñado para extraer contraseñas, credenciales de acceso e identidades digitales de los equipos infectados, y luego ponerlos a la venta o utilizarlos para fraude. Europol indica que la acción contra StealC continúa, siguiendo esfuerzos iniciados en junio de 2026.
Como referencia, BleepingComputer recordó que en junio otra fase de Endgame afectó a Amadey y StealC: se desactivaron 326 servidores y 142 dominios, y se recuperaron casi 27 millones de credenciales de más de 385 mil sistemas. Se señala además que Gootloader funciona desde 2020.
En la operación se identificaron más de 6 millones de credenciales de víctimas dentro de la infraestructura incautada. Europol subraya que los sospechosos las utilizaban para venderlas y para otros ataques, incluido el ransomware.
Los datos de las víctimas serán publicados en plataformas de alerta como HaveIBeenPwned, DIVD, CheckJeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation y NL-NCSC (Centro Nacional de Ciberseguridad de los Países Bajos). El comunicado especifica que estas alertas están asociadas a credenciales robadas vinculadas a CastleRAT, entre otros.
La nota oficial también indica que parte de la acción abordó sitios WordPress comprometidos, en un esfuerzo coordinado de desmantelamiento y mitigación de vulnerabilidades.
