عملیات هماهنگ یوروپل ۲۳۵ سرور بدافزارهای Gootloader، CastleRAT و StealC را توقیف کرد

یوروپل و نیروهای پلیس نُه کشور، شامل بلغارستان، کانادا، دانمارک، آلمان، مولداوی، هلند، لهستان، بریتانیا و آمریکا، در ۱۲ نوامبر اعلام کردند ۲۵۷ دامنه و ۲۳۵ سرور زیربنای سه عملیات بدافزاری Gootloader، CastleRAT و StealC را توقیف کرده‌اند. یوروپل و یورجاست این اقدام را هماهنگ کردند و شرکای بخش خصوصی نیز در شناسایی، غیرفعال‌سازی و مسدودسازی زیرساخت کمک کردند؛ این عملیات بخشی از Operation Endgame است، کارزار چندساله مداوم علیه شبکه‌های سایبرجرم به‌عنوان خدمت.

Gootloader یک بارگذار بدافزار است که از سال ۲۰۲۰ فعال بوده و معمولاً از طریق وب‌سایت‌های وردپرسی آلوده یا مخرب توزیع می‌شود که بازدیدکنندگان را فریب می‌دهند تا فایل‌های آلوده را که به‌شکل اسناد قانونی درآمده‌اند دانلود کنند. پس از نصب، این بدافزار به‌عنوان نقطه ورود برای بدافزارهای بعدی، از جمله باج‌افزار، عمل می‌کند. StealC یک بدافزار سرقت‌اطلاعات است که اطلاعات ورود، داده‌های کیف‌پول ارز دیجیتال و سایر اطلاعات حساس را از دستگاه‌های آلوده جمع‌آوری می‌کند. CastleRAT یک تروجان دسترسی از راه دور است که اخیراً شناسایی شده و به مهاجمان کنترل مستقیم بر سیستم آلوده می‌دهد. بازرسان گفتند این سه عملیات زیرساخت مشترک کافی داشتند که به‌عنوان یک پرونده هماهنگ واحد پیگیری شوند.

یوروپل گفت زیرساخت توقیف‌شده بیش از ۶.۴ میلیون مجموعه‌داده قربانی در خود داشته؛ مقیاسی که نشان می‌دهد وب‌سایت‌های وردپرسی آلوده تا چه اندازه به کانال توزیع بدافزارهای عمومی تبدیل شده‌اند. پاک‌سازی سایت‌های آلوده در مقیاس بزرگ از نظر تاریخی دشوار بوده، زیرا مدیران سایت، نه اپراتورهای بدافزار، کنترل به‌روزرسانی و بازنشانی اطلاعات ورود را در دست دارند؛ به همین دلیل، برنامه اطلاع‌رسانی به قربانیان این عملیات از طریق کانال‌های شناخته‌شده (از جمله HaveIBeenPwned، مؤسسه هلندی افشای آسیب‌پذیری، CheckjeHack، NoMoreLeaks، Sekoia، بنیاد Shadowserver و مرکز ملی امنیت سایبری هلند) انجام می‌شود، نه یک فهرست متمرکز واحد. از صاحبان سایت‌های وردپرسی خواسته شده اطلاعات ورود مدیریتی خود را به‌روزرسانی کنند، احراز هویت چندمرحله‌ای را فعال کنند و آسیب‌پذیری‌های باقی‌مانده افزونه‌ها و هسته را بررسی کنند، زیرا توقیف یک شبکه بدافزار به‌طور خودکار سایت‌های آلوده‌ای که آن را تغذیه کرده‌اند را ترمیم نمی‌کند.

این دست‌کم سومین موج بزرگ Operation Endgame در سال ۲۰۲۶ است: یک اقدام در ژوئن زیرساخت مرتبط با SocGholish و Evil Corp را توقیف کرد، و اقدامی جداگانه در همان ماه زیرساخت Amadey و StealC را مختل کرد و ۳۲۶ سرور و ۱۴۲ دامنه را توقیف و حدود ۲۷ میلیون اطلاعات ورود سرقت‌شده را بازیابی کرد. این تکرار الگویی را که یوروپل بارها به آن اشاره کرده برجسته می‌کند: توقیف سرورها دسترسی یک عملیات را به‌طور موقت مختل می‌کند، اما اپراتورها و کد بدافزار معمولاً زنده می‌مانند تا زیرساخت را در جای دیگری بازسازی کنند، مگر آنکه بازداشت‌ها همراه با توقیف انجام شود. در این اقدام اخیر هیچ بازداشتی اعلام نشد.