Le forze dell’ordine hanno completato un’azione coordinata da Europol e Eurojust contro le infrastrutture di Gootloader, CastleRAT e StealC, tre malware impiegati dai cybercriminali per colpire milioni di utenti nel mondo. L’intervento, concluso con il supporto di Bulgaria, Canada, Danimarca, Germania, Moldova, Olanda, Polonia, Regno Unito e Stati Uniti, ha rimosso 236 server e 257 domini.
Le attività delle autorità proseguono lungo il percorso avviato nel 2024 nell’ambito della cosiddetta Operation Endgame. L’azione ha colpito soprattutto reti “cybercrime-as-a-service”, ovvero tool offerti in abbonamento ai cybercriminali che eseguono gli attacchi informatici. Le tre famiglie di malware sono state neutralizzate in aree operative differenti, con risultati specifici per ciascun caso.
Gootloader: 14 server e 218 domini disattivati
Gootloader è un dropper/loader che permetteva l’accesso non autorizzato a sistemi informatici distribuendo falsi documenti legali tramite siti web compromessi, spesso basati su WordPress. Le vittime che scaricavano i falsi documenti legali venivano infettate, in alcuni casi anche con ransomware. Per questo malware sono stati disattivati 14 server e 218 domini; inoltre, 681 siti web infetti sono stati bonificati.
La rete di distribuzione di Gootloader poggiava quindi su siti compromessi che funzionavano da vettore per i documenti falsi. La bonifica dei siti e il disattivamento dei domini hanno quindi riguardato l’intera catena, dal server ai punti di accesso utilizzati per ingannare le vittime.
CastleRAT: 120 server e 39 domini sequestrati
CastleRAT è un trojan di accesso remoto che consentiva di controllare un computer infetto e di utilizzarlo illecitamente per scopi criminali. CastleRAT aveva anche una funzionalità di cifratura dei dati che costringeva le aziende a pagare un riscatto. Le autorità hanno sequestrato 120 server e 39 domini legati a questo trojan.
Il malware combinava quindi due capacità operative: il controllo remoto delle macchine compromesse e la cifratura dei dati aziendali. Il sequestro dell’infrastruttura ha riguardato sia i componenti di comando sia i domini utilizzati per rendere raggiungibili le funzioni del trojan.
StealC: 102 server smantellati
StealC è un infostealer progettato principalmente per rubare informazioni sensibili, tra cui password, dati di accesso memorizzati e identità digitali, poi vendute o utilizzate per altre attività illecite. L’azione ha portato allo smantellamento di 102 server, proseguendo un’operazione avviata nel giugno 2026.
La rimozione di questi server si inserisce nel lavoro più ampio di rimozione delle infrastrutture di StealC, iniziato nel giugno 2026. Il malware era orientato soprattutto alla raccolta di credenziali e dati memorizzati, materiale poi destinato alla vendita o al riutilizzo in operazioni illecite.
Oltre 6 milioni di credenziali e indicazioni per WordPress
Nel corso dell’operazione, all’interno dell’infrastruttura criminale sono state individuate oltre 6 milioni di credenziali appartenenti alle vittime. I dati degli utenti saranno resi pubblici tramite HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation e NL-NCSC, consentendo la verifica della presenza delle credenziali rubate.
Ai proprietari dei siti che usano WordPress è richiesto di aggiornare le credenziali, attivare l’autenticazione a più fattori e correggere le vulnerabilità. Le tre misure riguardano rispettivamente l’accesso, la protezione dell’account e le cause tecniche che avevano reso possibili le compromissioni.
