235 servidores fuera de servicio de un solo golpe: Europol desmantela tres redes de ciberdelincuentes
Gootloader, CastleRAT y StealC compartían algo más que el mero robo de datos de usuarios.
La policía internacional llegó a los servidores en los que los delincuentes almacenaban millones de cuentas robadas y preparaban nuevos ataques. El 12 de noviembre informó Europol sobre los resultados de la operación Endgame contra Gootloader, CastleRAT y StealC. Las fuerzas del orden de nueve países, junto con socios privados, desactivaron 235 servidores y 257 dominios.
En la infraestructura incautada se encontraron alrededor de 6,4 millones de conjuntos de datos recogidos de ordenadores infectados. Se trata de registros con credenciales, no del número confirmado de víctimas únicas. Los delincuentes vendían contraseñas robadas e información de acceso, y los compradores podían usar el acceso para cometer fraude, infiltrarse en redes corporativas y ataques de ransomware.
Uno de los principales objetivos de la operación fue Gootloader, que atraía a los usuarios con documentos legales falsos mediante sitios WordPress hackeados. Los enlaces a las páginas infectadas se promocionaban en los resultados de búsqueda, tras lo cual se ofrecía a los visitantes descargar un archivo malicioso. En el marco de la operación se desconectaron 14 servidores, se incautaron 218 dominios y se limpiaron 681 sitios infectados.
La policía danesa informó que los delincuentes, presuntamente, utilizaron contraseñas de administradores robadas anteriormente para tomar el control de los sitios. Los atacantes colocaban puertas traseras y código para desplegar Gootloader en las páginas. Los agentes eliminaron los componentes maliciosos, cerraron accesos no autorizados y dejaron a los propietarios de los sitios mensajes con las medidas de protección necesarias.
Otro objetivo fue CastleRAT, un troyano de acceso remoto conocido desde 2025. CastleRAT permitía a los atacantes controlar los ordenadores de las víctimas, ejecutar programas adicionales y exfiltrar información. Europol relaciona el uso del troyano con el cifrado de datos, la paralización de operaciones de organizaciones y el pago de rescates. Durante la operación se desconectaron 120 servidores y se incautaron 39 dominios.
El info‑stealer StealC robaba contraseñas, identificadores digitales y otra información para su posterior venta. La lucha contra la infraestructura criminal continúa tras la fase de Endgame de junio. Para noviembre, las fuerzas del orden informaron de la desconexión de 102 servidores de StealC, incluidos 80 por la policía de los Países Bajos. En verano, durante una operación más amplia contra varias familias de malware se encontraron además alrededor de 27 millones de registros robados.
El acceso a las cuentas robadas no desaparece automáticamente tras la desconexión de los servidores. La información relacionada con CastleRAT está prevista para ser transferida a servicios como Have I Been Pwned, CheckjeHack, DIVD y otras organizaciones que notifican a las víctimas. Europol aconseja a los propietarios de sitios WordPress actualizar el sistema y los plugins, cambiar las contraseñas y activar la autenticación multifactor.
La operación de noviembre afectó no a una vulnerabilidad aislada de WordPress, sino a la infraestructura criminal que empleaba sitios comprometidos y ordenadores infectados. Europol no informó sobre detenciones relacionadas con la nueva fase. La policía de los Países Bajos también llevó a cabo acciones investigativas contra el presunto principal organizador de Gootloader. Desconectar los servidores de control no garantiza la eliminación de todas las infecciones ni de copias de datos robados con anterioridad.