Une opération menée par Europol saisit 235 serveurs hébergeant les malwares Gootloader, CastleRAT et StealC

Europol et les agences de police de neuf pays — Bulgarie, Canada, Danemark, Allemagne, Moldavie, Pays-Bas, Pologne, Royaume-Uni et États-Unis — ont annoncé le 12 novembre avoir saisi 257 domaines et 235 serveurs soutenant trois opérations de malware : Gootloader, CastleRAT et StealC. Europol et Eurojust ont coordonné l'action, avec l'aide de partenaires du secteur privé pour identifier, neutraliser et bloquer l'infrastructure, dans le cadre de l'Operation Endgame, la campagne pluriannuelle en cours contre les réseaux de cybercriminalité en tant que service.

Gootloader est un chargeur de malware actif depuis 2020, généralement distribué via des sites WordPress compromis ou malveillants qui incitent les visiteurs à télécharger des fichiers infectés déguisés en documents légitimes. Une fois installé, il sert de point d'entrée pour des malwares secondaires, notamment des ransomwares. StealC est un infostealer qui collecte des identifiants, des données de portefeuilles de cryptomonnaie et d'autres informations sensibles sur les machines infectées. CastleRAT est un cheval de Troie d'accès à distance plus récemment identifié, qui donne aux attaquants un contrôle direct sur un système compromis. Les enquêteurs ont indiqué que les trois opérations partageaient suffisamment d'infrastructure commune pour être traitées comme un seul dossier coordonné.

Europol a précisé que l'infrastructure saisie contenait plus de 6,4 millions de jeux de données victimes, une ampleur qui témoigne du rôle central qu'ont pris les sites WordPress compromis comme canal de distribution pour les malwares courants. Les sites compromis ont historiquement été difficiles à assainir à grande échelle, car ce sont les administrateurs des sites — et non les opérateurs des malwares — qui gèrent les mises à jour et les réinitialisations d'identifiants. C'est pourquoi le plan de notification des victimes dans le cadre de cette saisie s'appuie sur des canaux établis (notamment HaveIBeenPwned, le Dutch Institute for Vulnerability Disclosure, CheckjeHack, NoMoreLeaks, Sekoia, la Shadowserver Foundation et le centre national néerlandais de cybersécurité) plutôt que sur une liste centralisée unique. Les propriétaires de sites WordPress sont invités à mettre à jour leurs identifiants d'administration, à activer l'authentification multifacteur et à vérifier les vulnérabilités non corrigées dans les plugins et le noyau du CMS — car la saisie d'un réseau de malware ne corrige pas rétroactivement les sites compromis qui l'ont alimenté.

Il s'agit d'au moins la troisième grande vague de l'Operation Endgame en 2026 : une action menée en juin avait démantelé l'infrastructure liée à SocGholish et Evil Corp, et une autre action en juin avait perturbé l'infrastructure d'Amadey et StealC, saisissant 326 serveurs et 142 domaines et récupérant environ 27 millions d'identifiants volés. Cette récurrence illustre un schéma qu'Europol a souligné à plusieurs reprises : la saisie de serveurs perturbe temporairement la portée d'une opération, mais les opérateurs et le code du malware survivent généralement pour reconstruire une infrastructure ailleurs, sauf si des arrestations accompagnent la saisie. Aucune arrestation n'a été annoncée dans le cadre de cette dernière action.