Europol y sus socios internacionales han desmantelado la infraestructura vinculada a Gootloader, CastleRAT y StealC, centrándose en los servicios de malware que dan soporte a los ataques de ransomware y al robo de datos. Anunciada el 12 de noviembre de 2026, la última acción de la Operación Endgame abarcó 235 servidores y 257 dominios. Las autoridades también recuperaron 6,4 millones de conjuntos de datos de víctimas de la infraestructura criminal.

La operación se centró en el modelo de cibercrimen como servicio, donde los delincuentes suministran herramientas o accesos que otros atacantes utilizan para vulnerar redes. Estos servicios conectan las infecciones con el robo de contraseñas, el control remoto y el despliegue de ransomware. Eliminar sus servidores y dominios interrumpe varias etapas de esa cadena, en lugar de atacar únicamente la carga útil final del ransomware.

Infraestructura de Gootloader y CastleRAT desmantelada

Gootloader atraía a las víctimas mediante documentos legales falsos alojados en sitios web comprometidos, incluyendo sitios de WordPress hackeados. Las autoridades informaron haber dado de baja 14 servidores y 218 dominios, mientras limpiaban 681 sitios web infectados. Informes anteriores sobre las técnicas de envenenamiento de búsquedas de Gootloader explican cómo las páginas de foros y los resultados de búsqueda falsos dirigen a los usuarios hacia descargas maliciosas de JavaScript.

Este método de entrega convierte una búsqueda ordinaria de un contrato o acuerdo comercial en un punto de entrada para los atacantes. Tras su ejecución, Gootloader puede introducir herramientas adicionales en el sistema. Su función como cargador lo hace importante para los operadores de ransomware, quienes pueden usar el acceso para preparar ataques posteriores.

CastleRAT, conocido desde 2025, otorga a los atacantes el control remoto sobre los ordenadores infectados. Las autoridades informaron de la incautación de 120 servidores y 39 dominios conectados al malware. La cobertura técnica previa de CastleRAT describió versiones en Python y C, con capacidades que incluyen el registro de teclas (keylogging), la captura de pantalla y la monitorización del portapapeles. Estas funciones ayudan a los atacantes a recopilar información y mantener el acceso.

Credenciales robadas y notificaciones a las víctimas

StealC se centra en contraseñas, datos de inicio de sesión guardados e identidades digitales, y los datos robados alimentan fraudes y otros ataques. Las autoridades informaron del desmantelamiento de 102 servidores vinculados al malware. Esto ocurre tras la operación de Europol de junio de 2026, que también tuvo como objetivo StealC junto con SocGholish y Amadey, lo que demuestra una presión continua sobre el mismo servicio criminal.

Las cifras de malware publicadas suman 236 servidores, uno más que la cifra global de 235. Sin una explicación publicada, esa diferencia sigue sin resolverse. Las cifras de dominios coinciden con el total declarado de 257. Esta distinción es importante al evaluar la escala reportada de la operación.

Los datos de las víctimas servirán para emitir alertas a través de servicios como Have I Been Pwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, Shadowserver y NL-NCSC. El Centro Europeo de Ciberdelincuencia de Europol apoyó el trabajo de inteligencia, el rastreo financiero y las notificaciones a las víctimas, mientras que Eurojust ayudó a las autoridades judiciales a coordinar sus acciones.

Se insta a los propietarios de WordPress a cambiar sus credenciales, activar la autenticación multifactor y parchear las vulnerabilidades. Eliminar cuentas desconocidas y mantener los sitios actualizados también reduce el riesgo de reinfección. El desmantelamiento interrumpe la infraestructura criminal, pero tú, como usuario afectado, aún necesitas asegurar las cuentas y los sistemas expuestos.