Europol-geführte Operation beschlagnahmt 235 Server mit Gootloader-, CastleRAT- und StealC-Malware

Europol und Strafverfolgungsbehörden aus neun Ländern — Bulgarien, Kanada, Dänemark, Deutschland, Moldau, den Niederlanden, Polen, dem Vereinigten Königreich und den Vereinigten Staaten — gaben am 12. November bekannt, dass sie 257 Domains und 235 Server beschlagnahmt haben, die drei Malware-Operationen unterstützten: Gootloader, CastleRAT und StealC. Europol und Eurojust koordinierten die Aktion, bei der private Partner halfen, die Infrastruktur zu identifizieren, zu deaktivieren und zu blockieren — alles im Rahmen von Operation Endgame, der laufenden mehrjährigen Kampagne gegen Cybercrime-as-a-Service-Netzwerke.

Gootloader ist ein Malware-Loader, der seit 2020 aktiv ist und typischerweise über kompromittierte oder bösartige WordPress-Seiten verbreitet wird, die Besucher dazu verleiten, infizierte Dateien herunterzuladen, die als legitime Dokumente getarnt sind. Nach der Installation dient er als Einfallstor für nachfolgende Malware, darunter Ransomware. StealC ist ein Infostealer, der Zugangsdaten, Kryptowährungs-Wallet-Daten und andere sensible Informationen von infizierten Rechnern abgreift. CastleRAT ist ein erst kürzlich identifizierter Remote Access Trojan, der Angreifern direkte Kontrolle über ein kompromittiertes System verschafft. Die Ermittler stellten fest, dass die drei Operationen genug gemeinsame Infrastruktur nutzten, um sie als einen einzigen, koordinierten Fall zu verfolgen.

Europol zufolge enthielt die beschlagnahmte Infrastruktur mehr als 6,4 Millionen Opferdatensätze — ein Umfang, der verdeutlicht, wie stark WordPress-Kompromittierungen als Verbreitungskanal für Commodity-Malware geworden sind. Kompromittierte Seiten waren historisch geschwierig in großem Maßstab zu bereinigen, weil Seitenadministratoren — nicht die Malware-Betreiber — das Einspielen von Patches und das Zurücksetzen von Zugangsdaten kontrollieren. Deshalb läuft der Benachrichtigungsplan für Opfer dieser Abschaltaktion über etablierte Kanäle (darunter HaveIBeenPwned, das Dutch Institute for Vulnerability Disclosure, CheckjeHack, NoMoreLeaks, Sekoia, die Shadowserver Foundation und das niederländische nationale Cyber-Sicherheitszentrum) statt über eine einzige zentrale Liste. Website-Betreibern, die WordPress nutzen, wird dringend empfohlen, ihre Admin-Zugangsdaten zu aktualisieren, Multi-Faktor-Authentifizierung zu aktivieren und auf ausstehende Plugin- und Kern-Schwachstellen zu prüfen — denn ein beschlagnahmtes Malware-Netzwerk behebt rückwirkend keine der kompromittierten Seiten, die es gespeist haben.

Dies ist mindestens die dritte größere Operation-Endgame-Welle im Jahr 2026: Eine Aktion im Juni legte Infrastruktur im Zusammenhang mit SocGholish und Evil Corp lahm, und eine weitere Aktion im Juni störte die Amadey- und StealC-Infrastruktur, beschlagnahmte 326 Server und 142 Domains und stellte rund 27 Millionen gestohlene Zugangsdaten sicher. Die Wiederholung unterstreicht ein Muster, das Europol wiederholt angesprochen hat: Die Beschlagnahme von Servern unterbricht die Reichweite einer Operation vorübergehend, aber die Betreiber und der Malware-Code überleben in der Regel und bauen die Infrastruktur anderswo neu auf — es sei denn, Festnahmen begleiten die Abschaltung. Neben der jüngsten Aktion wurden keine Festnahmen bekanntgegeben.