Europol smantella l'infrastruttura di tre malware

Proseguono le attività delle forze dell’ordine avviate nel 2024 con la cosiddetta Operation Endgame. Al termine dell’ultima azione effettuata da Europol con la collaborazione di nove paesi sono state smantellate le infrastrutture di Gootloader, CastleRAT e StealC, tre noti malware usati dai cybercriminali per colpire milioni di utenti nel mondo.

Sequestrati 236 server e 257 domini

Queste operazioni prendono di mira principalmente le cosiddette reti “cybercrime-as-a-service”, ovvero tool offerti in abbonamento ai cybercriminali che eseguono gli attacchi informatici. Questa volta hanno partecipato le autorità di Bulgaria, Canada, Danimarca, Germania, Moldova, Olanda, Polonia, Regno Unito e Stati Uniti, coordinati da Europol e Eurojust. Sono state smantellate le infrastrutture di Gootloader, CastleRAT e StealC, sequestrando 236 server e 257 domini.

Gootloader è un dropper/loader che permetteva l’accesso non autorizzato a sistemi informatici distribuendo falsi documenti legali tramite siti web compromessi, spesso basati su WordPress. Le vittime che scaricavano tali documenti venivano infettate, in alcuni casi anche con ransomware. Sono stati disattivati ​​14 server e 218 domini, mentre 681 siti web infetti sono stati bonificati.

CastleRAT è un trojan di accesso remoto (RAT) che consentiva di controllare un computer infetto e di utilizzarlo illecitamente per scopi criminali. Aveva anche una funzionalità di cifratura dei dati che costringeva le aziende a pagare un riscatto. Sono stati sequestrati 120 server e 39 domini.

Infine, StealC è un infostealer progettato principalmente per rubare informazioni sensibili (password, dati di accesso memorizzati e identità digitali) che venivano vendute o utilizzate per altre attività illecite. Sono stati smantellati 102 server, proseguendo un’operazione avviata nel giugno 2026.

Nel corso dell’operazione, all’interno dell’infrastruttura criminale gestita dai cybercriminali sono state individuate oltre 6 milioni di credenziali appartenenti alle vittime. I dati degli utenti verranno resi pubblici attraverso le piattaforme HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation e NL-NCSC, in modo da consentire di verificare la presenza delle credenziali. I proprietari dei siti che usano WordPress devono aggiornare le credenziali, attivare l’autenticazione a più fattori e correggere le vulnerabilità.