La policía apaga tres redes de malware y halla 6 millones de credenciales robadas
La policía de nueve países, con la coordinación de Europol, ha desactivado los servidores de tres programas maliciosos: el cargador Gootloader, el troyano de acceso remoto CastleRAT y el ladrón de contraseñas StealC. Según el anuncio de Europol del 12 de noviembre, junto con socios privados se incautaron o apagaron 235 servidores y 257 dominios. En esos servidores los investigadores hallaron más de 6 millones de credenciales robadas de ordenadores infectados. El titular del comunicado habla de 6,4 millones de conjuntos de datos de víctimas.
En resumen
- La acción forma parte de la Operación Endgame, la campaña internacional contra las herramientas que abren la puerta al ransomware.
- Los datos de las víctimas de CastleRAT irán a Have I Been Pwned y otros servicios de alerta, para que los afectados sepan que les robaron las contraseñas.
- Europol no ha anunciado detenciones en esta ronda.
Qué hacían estos tres programas
Gootloader funciona desde 2020. Sus operadores hackeaban webs, a menudo con WordPress, y colgaban en ellas documentos legales falsos. Quien descargaba uno de esos archivos infectaba su ordenador, y Gootloader instalaba después otro malware, incluido ransomware. La policía desactivó 218 dominios de Gootloader y limpió 681 webs infectadas.
CastleRAT apareció en 2025 y permite a un atacante controlar a distancia un ordenador infectado. Según Europol, estaba diseñado para ser difícil de detectar y se usó en ataques que cifraron datos, paralizaron sistemas informáticos enteros y obligaron a empresas a pagar rescates. La policía incautó 120 servidores y 39 dominios de CastleRAT. StealC sacaba de los ordenadores infectados contraseñas guardadas, credenciales e identidades digitales, que luego se vendían. La policía desactivó 102 servidores de StealC. En junio de 2026 la misma operación ya había golpeado a StealC junto con Amadey y SocGholish, pero el ladrón siguió funcionando.
Según Europol, los sospechosos vendían las credenciales robadas y los compradores las usaban para nuevos ataques, entre ellos de ransomware. The420.in enumera los países participantes: Bulgaria, Canadá, Dinamarca, Alemania, Moldavia, Países Bajos, Polonia, Reino Unido y Estados Unidos.
Cómo se enterarán las víctimas
Europol afirma que los datos de las víctimas se enviarán a Have I Been Pwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, la Shadowserver Foundation y el NCSC neerlandés. El comunicado vincula estas alertas a las víctimas de CastleRAT. No aclara si las credenciales robadas por StealC se compartirán del mismo modo.
Qué hacer ahora
- Suscriba su correo a las alertas de Have I Been Pwned. Si su dirección aparece en los datos enviados al servicio, recibirá un aviso.
- Si le llega ese aviso, revise primero el ordenador en busca de malware. Cambiar contraseñas en un equipo infectado no sirve de nada: las nuevas también se las robarán.
- Después cambie desde un dispositivo limpio las contraseñas del correo, el banco y las redes sociales y active la verificación en dos pasos.
- Si tiene una web con WordPress, Europol aconseja cambiar las credenciales de administrador, activar el inicio de sesión en dos pasos y actualizar el núcleo, los temas y los plugins.
• 6.4 million victim datasets secured in international operation against malware networks - Europol / Operation Endgame
• Operation Endgame malware takedown turns up over 6 million stolen logins - Help Net Security
• Europol Disrupts Three Malware Networks, Identifies 6.4 Million Stolen Credentials - The420.in
