Международная операция правоохранителей закрыла инфраструктуру Gootloader, CastleRAT и StealC. В ходе операции изъяли 235 серверов и 257 доменов, а также собрали более 6 млн украденных учётных данных. Это очередной этап Operation Endgame, серии скоординированных действий против инфраструктуры киберпреступников.
По данным Europol, операцию координировало европейское полицейское ведомство вместе с партнёрами. Правоохранители действовали против трёх разных инструментов: загрузчика Gootloader, троянца удалённого доступа CastleRAT и похитителя данных StealC. Против каждого направления принимали отдельные меры, чтобы лишить злоумышленников серверов и доменов, которые те использовали в атаках.
Gootloader распространял поддельные юридические документы через взломанные сайты, в том числе на WordPress. После загрузки документа жертва получала загрузчик - программу, которая незаметно устанавливает на устройство другое вредоносное ПО. Дальше цепочка могла привести к шифровальщику; по этому направлению изъяли 218 доменов и очистили 681 заражённый сайт.
CastleRAT с 2025 года давал злоумышленникам удалённый доступ к чужим машинам. Такой троянец позволяет выполнять на заражённом устройстве команды, работать с файлами и закрепляться в системе. CastleRAT использовали для шифрования данных и атак на целые ИТ-системы, а по делу изъяли 120 серверов и 39 доменов.
StealC специализировался на краже паролей, сохранённых доступов и цифровых идентичностей. Похититель данных собирает их с заражённого устройства, чтобы позже использовать для доступа к чужим аккаунтам. По этому направлению изъяли 102 сервера; это продолжение работы, начатой в июне 2026 года.
Данные пострадавших передают сервисам HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation и NL-NCSC. Это сервисы проверки утечек, исследовательские организации и национальные центры кибербезопасности. Через них пользователи смогут проверить, оказались ли их учётные записи в числе украденных.
Gootloader взламывал в том числе сайты на WordPress. Пользователям и владельцам таких сайтов ведомство советует сменить пароли, включить многофакторную аутентификацию и установить исправления.
Конкретных обвиняемых ведомство не назвало и не раскрыло, сколько человек уже уведомлено. Остальные детали операции в сообщении не приводятся.
