Operação Liderada pela Europol Apreende 235 Servidores que Executavam os Malwares Gootloader, CastleRAT e StealC

A Europol e agências de segurança de nove países — Bulgária, Canadá, Dinamarca, Alemanha, Moldávia, Países Baixos, Polônia, Reino Unido e Estados Unidos — anunciaram em 12 de novembro que apreenderam 257 domínios e 235 servidores que sustentavam três operações de malware: Gootloader, CastleRAT e StealC. A Europol e a Eurojust coordenaram a ação, com parceiros do setor privado auxiliando na identificação, desativação e bloqueio da infraestrutura, como parte da Operação Endgame, a campanha contínua e de múltiplos anos contra redes de crime cibernético como serviço.

O Gootloader é um carregador de malware ativo desde 2020, normalmente distribuído por meio de sites WordPress comprometidos ou maliciosos que induzem visitantes a baixar arquivos infectados disfarçados de documentos legítimos. Uma vez instalado, serve como ponto de entrada para malwares subsequentes, incluindo ransomware. O StealC é um infostealer que coleta credenciais, dados de carteiras de criptomoedas e outras informações sensíveis das máquinas infectadas. O CastleRAT é um trojan de acesso remoto identificado mais recentemente, que oferece aos atacantes controle total sobre o sistema comprometido. Os investigadores afirmaram que as três operações compartilhavam infraestrutura subjacente suficiente para serem tratadas como um único caso coordenado.

A Europol informou que a infraestrutura apreendida continha mais de 6,4 milhões de conjuntos de dados de vítimas — uma escala que reflete o quanto o comprometimento de sites WordPress se tornou um canal de distribuição para malwares genéricos. Sites comprometidos historicamente são difíceis de limpar em larga escala porque os administradores do site, e não os operadores do malware, controlam a aplicação de patches e a redefinição de credenciais. É por isso que o plano de notificação de vítimas desta operação passa por canais estabelecidos — incluindo HaveIBeenPwned, o Instituto Holandês para Divulgação de Vulnerabilidades, CheckjeHack, NoMoreLeaks, Sekoia, a Shadowserver Foundation e o centro nacional holandês de segurança cibernética — em vez de uma lista centralizada única. Proprietários de sites que utilizam WordPress estão sendo orientados a atualizar suas credenciais de administrador, habilitar autenticação multifator e verificar vulnerabilidades pendentes em plugins e no núcleo da plataforma, já que o desmantelamento de uma rede de malware não corrige retroativamente os sites comprometidos que a alimentavam.

Esta é ao menos a terceira grande onda da Operação Endgame em 2026: uma ação em junho derrubou a infraestrutura ligada ao SocGholish e ao Evil Corp, e uma ação separada, também em junho, desarticulou a infraestrutura do Amadey e do StealC, apreendendo 326 servidores e 142 domínios e recuperando cerca de 27 milhões de credenciais roubadas. A recorrência reforça um padrão que a Europol tem destacado repetidamente — a apreensão de servidores interrompe temporariamente o alcance de uma operação, mas os operadores e o código do malware geralmente sobrevivem para reconstruir a infraestrutura em outro lugar, a menos que prisões acompanhem a operação. Nenhuma prisão foi anunciada junto com esta ação mais recente.