عملية بقيادة يوروبول تضبط 235 خادماً تشغّل برمجيات Gootloader وCastleRAT وStealC الخبيثة

أعلنت يوروبول وأجهزة إنفاذ القانون في تسع دول — هي بلغاريا وكندا والدنمارك وألمانيا ومولدوفا وهولندا وبولندا والمملكة المتحدة والولايات المتحدة — في الثاني عشر من نوفمبر، أنها ضبطت 257 نطاقاً إلكترونياً و235 خادماً كانت تُشكّل البنية التحتية لثلاث عمليات للبرمجيات الخبيثة، هي: Gootloader وCastleRAT وStealC. وقد نسّقت يوروبول ويوروجست هذه العملية بمساعدة شركاء من القطاع الخاص في تحديد البنية التحتية وتعطيلها وحجبها، وذلك في إطار عملية Endgame، وهي الحملة المستمرة متعددة السنوات لمكافحة شبكات الجريمة الإلكترونية كخدمة.

يُعدّ Gootloader برنامجاً خبيثاً لتحميل البرمجيات الضارة، وهو نشط منذ عام 2020، ويُوزَّع في الغالب عبر مواقع WordPress مخترقة أو ضارة تخدع الزوار لتنزيل ملفات مصابة تبدو في هيئة وثائق رسمية. وبمجرد تثبيته، يُمثّل نقطة دخول لبرمجيات خبيثة لاحقة، بما فيها برامج الفدية. أما StealC فهو برنامج لسرقة المعلومات يجمع بيانات اعتماد المستخدمين ومعلومات محافظ العملات المشفرة وغيرها من البيانات الحساسة من الأجهزة المصابة. وCastleRAT هو حصان طروادة للوصول عن بُعد تم تحديده مؤخراً، ويمنح المهاجمين سيطرة مباشرة على الأنظمة المخترقة. وقد أفاد المحققون بأن العمليات الثلاث تشترك في قدر كافٍ من البنية التحتية الأساسية مما أتاح ملاحقتها في إطار قضية واحدة منسقة.

أفادت يوروبول بأن البنية التحتية المضبوطة احتوت على أكثر من 6.4 ملايين مجموعة بيانات خاصة بضحايا، وهو حجم يعكس مدى الاعتماد المتزايد على اختراق مواقع WordPress قناةً لتوزيع البرمجيات الخبيثة الشائعة. وقد كان من الصعب تاريخياً تنظيف المواقع المخترقة على نطاق واسع، إذ يملك مديرو المواقع، لا مشغّلو البرمجيات الخبيثة، صلاحية تحديث الإعدادات وإعادة ضبط بيانات الاعتماد. ولهذا السبب، يعتمد مخطط إخطار الضحايا في هذه العملية على قنوات راسخة — من بينها HaveIBeenPwned والمعهد الهولندي للإفصاح عن الثغرات الأمنية وCheckjeHack وNoMoreLeaks وSekoia ومؤسسة Shadowserver والمركز الهولندي الوطني للأمن السيبراني — بدلاً من قائمة مركزية واحدة. ويُحثّ أصحاب المواقع الذين يستخدمون WordPress على تحديث بيانات اعتماد المسؤولين، وتفعيل المصادقة متعددة العوامل، والتحقق من الثغرات القائمة في الإضافات والنواة الأساسية، إذ إن ضبط شبكة برمجيات خبيثة لا يُصلح بأثر رجعي المواقع المخترقة التي كانت تُغذّيها.

تُعدّ هذه العملية الموجة الكبرى الثالثة على الأقل لعملية Endgame في عام 2026؛ إذ أسفرت عملية في يونيو عن إسقاط البنية التحتية المرتبطة بـ SocGholish وEvil Corp، فيما أوقفت عملية منفصلة في يونيو أيضاً البنية التحتية لـ Amadey وStealC، مع ضبط 326 خادماً و142 نطاقاً واسترداد نحو 27 مليون بيانات اعتماد مسروقة. ويُبرز هذا التكرار نمطاً رصدته يوروبول مراراً — إذ إن ضبط الخوادم يُعطّل نطاق عمل العملية مؤقتاً، غير أن المشغّلين وكود البرمجيات الخبيثة ينجون في الغالب ليُعيدوا بناء البنية التحتية في مكان آخر، ما لم تُصاحب عمليات الضبط اعتقالاتٌ. ولم يُعلَن عن أي اعتقالات في إطار هذه العملية الأخيرة.