Operación liderada por Europol incauta 235 servidores que ejecutaban los malware Gootloader, CastleRAT y StealC

Europol y agencias de seguridad de nueve países — Bulgaria, Canadá, Dinamarca, Alemania, Moldavia, los Países Bajos, Polonia, el Reino Unido y los Estados Unidos — anunciaron el 12 de noviembre que habían incautado 257 dominios y 235 servidores que sostenían tres operaciones de malware: Gootloader, CastleRAT y StealC. Europol y Eurojust coordinaron la acción, con la colaboración de socios del sector privado para identificar, desactivar y bloquear la infraestructura, en el marco de la Operación Endgame, la campaña plurianual en curso contra las redes de cibercrimen como servicio.

Gootloader es un cargador de malware activo desde 2020, distribuido habitualmente a través de sitios WordPress comprometidos o maliciosos que engañan a los visitantes para que descarguen archivos infectados disfrazados de documentos legítimos. Una vez instalado, actúa como punto de entrada para malware adicional, incluido ransomware. StealC es un infostealer que recopila credenciales, datos de carteras de criptomonedas y otra información sensible de los equipos infectados. CastleRAT es un troyano de acceso remoto identificado más recientemente que otorga a los atacantes control directo sobre el sistema comprometido. Los investigadores señalaron que las tres operaciones compartían suficiente infraestructura subyacente como para tratarlas como un único caso coordinado.

Europol informó que la infraestructura incautada contenía más de 6,4 millones de registros de víctimas, una magnitud que refleja hasta qué punto el compromiso de sitios WordPress se ha convertido en un canal de distribución habitual para el malware de tipo comercial. Los sitios comprometidos han sido históricamente difíciles de sanear a gran escala, ya que son los administradores del sitio —y no los operadores del malware— quienes controlan los parches y el restablecimiento de credenciales. Por eso el plan de notificación a víctimas de esta operación se canaliza a través de vías establecidas (entre ellas HaveIBeenPwned, el Dutch Institute for Vulnerability Disclosure, CheckjeHack, NoMoreLeaks, Sekoia, la Shadowserver Foundation y el centro nacional de ciberseguridad neerlandés), en lugar de una lista centralizada única. Se insta a los propietarios de sitios que utilicen WordPress a actualizar sus credenciales de administrador, activar la autenticación multifactor y revisar las vulnerabilidades pendientes en plugins y en el núcleo del sistema, ya que el desmantelamiento de una red de malware no parchea retroactivamente los sitios comprometidos que la alimentaban.

Esta es al menos la tercera gran oleada de la Operación Endgame en 2026: una acción en junio desmanteló infraestructura vinculada a SocGholish y Evil Corp, y otra acción independiente ese mismo mes interrumpió la infraestructura de Amadey y StealC, incautando 326 servidores y 142 dominios y recuperando cerca de 27 millones de credenciales robadas. La recurrencia de estas operaciones subraya un patrón que Europol ha señalado en repetidas ocasiones: la incautación de servidores interrumpe temporalmente el alcance de una operación, pero los operadores y el código del malware generalmente sobreviven para reconstruir la infraestructura en otro lugar, a menos que las detenciones acompañen al desmantelamiento. No se anunciaron arrestos junto con esta última acción.