Europol y agencias de nueve países desmantelaron la infraestructura de los malware Gootloader, CastleRAT y StealC, incautando 235 servidores y 257 dominios. Esta acción, parte de la "Operación Endgame", permitió recuperar datos de 6.4 millones de víctimas que eran utilizados para ataques de ransomware. Las autoridades instan a los usuarios, especialmente de WordPress, a actualizar sus credenciales y activar la autenticación de doble factor.



Europol y socios policiales de nueve países han incautado cientos de servidores y dominios utilizados por las operaciones de malware Gootloader, CastleRAT y StealC.

Gootloader es un cargador de malware activo desde 2020, StealC es un infostealer que ayuda a exfiltrar credenciales, carteras de criptomonedas y otra información sensible de los dispositivos de las víctimas, y CastleRAT es un troyano de acceso remoto que apareció el año pasado. Las tres familias de malware han sido utilizadas por diversas operaciones cibercriminales, incluidas bandas de ransomware.

La acción conjunta forma parte de la Operación Endgame, un esfuerzo internacional de las fuerzas del orden dirigido contra el cibercrimen y las redes de "cibercrimen como servicio". Esta etapa de la Operación Endgame incluyó agencias policiales de Bulgaria, Canadá, Dinamarca, Alemania, Moldavia, Países Bajos, Polonia, Reino Unido y Estados Unidos, con Europol y Eurojust coordinando el esfuerzo.


Junto con socios privados que ayudaron a identificar, desmantelar, incautar y bloquear la infraestructura vinculada a las tres operaciones de malware, las autoridades incautaron 257 dominios y 235 servidores.

También identificaron 6,4 millones de conjuntos de datos de víctimas en la infraestructura criminal objetivo, robados de sistemas infectados por malware para su uso en otros ciberataques, incluidas brechas de ransomware.

"Durante la acción, se identificaron más de 6 millones de credenciales de víctimas en la infraestructura criminal propiedad de los cibercriminales y fueron incautadas por las autoridades durante esta semana. Los sospechosos utilizaban estas credenciales, robadas a las víctimas después de infectarlas, para venderlas y que posteriormente fueran utilizadas para otros ciberataques como el ransomware", afirmó Europol.

"Los datos de las víctimas estarán disponibles a través de las plataformas HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation y NL-NCSC, alertando a las víctimas de las credenciales robadas causadas por el malware CastleRAT. Se insta a los usuarios de WordPress a actualizar sus credenciales, habilitar la autenticación multifactor y parchear las vulnerabilidades".

acciones previas de la operación endgame

En junio, como parte de la misma operación, las agencias policiales también limpiaron casi 15.000 sitios web de WordPress infectados por malware e incautaron 106 servidores utilizados por la botnet SocGholish y el grupo ruso de cibercrimen Evil Corp.

Más adelante ese mes, la Operación Endgame desarticuló la infraestructura maliciosa utilizada por las operaciones de malware Amadey y StealC, eliminando 326 servidores y 142 dominios y recuperando alrededor de 27 millones de credenciales robadas de más de 385.000 sistemas comprometidos.

Hace un año, la misma acción conjunta de las fuerzas del orden también desmanteló más de 1.000 servidores utilizados por las operaciones de malware de las botnets Rhadamanthys, VenomRAT y Elysium.

Anteriormente, la Operación Endgame se dirigió a los clientes y servidores de la botnet Smokeloader, la infraestructura de ransomware, el sitio AVCheck y varias otras operaciones importantes de malware, incluyendo DanaBot, IcedID, Pikabot, Trickbot, Smokeloader, Bumblebee y SystemBC.


Fuente:
BleepingComputer