La police coupe trois réseaux de malwares et trouve 6 millions d'identifiants volés
Les polices de neuf pays, coordonnées par Europol, ont mis hors service les serveurs de trois logiciels malveillants : le chargeur Gootloader, le cheval de Troie d'accès à distance CastleRAT et le voleur de mots de passe StealC. Selon l'annonce d'Europol du 12 novembre, 235 serveurs et 257 domaines ont été saisis ou coupés avec l'aide de partenaires privés. Sur ces serveurs, les enquêteurs ont trouvé plus de 6 millions d'identifiants volés sur des ordinateurs infectés. Le titre du communiqué parle de 6,4 millions de jeux de données de victimes.
En bref
- L'action fait partie de l'opération Endgame, la campagne internationale contre les outils qui ouvrent la porte aux rançongiciels.
- Les données des victimes de CastleRAT seront transmises à Have I Been Pwned et à d'autres services d'alerte, pour que les personnes concernées sachent que leurs mots de passe ont été volés.
- Europol n'a annoncé aucune arrestation lors de cette vague.
Ce que faisaient ces trois programmes
Gootloader sévit depuis 2020. Ses opérateurs pirataient des sites, souvent sous WordPress, et y déposaient de faux documents juridiques. Ceux qui téléchargeaient un tel fichier infectaient leur ordinateur, puis Gootloader y installait d'autres logiciels malveillants, dont des rançongiciels. La police a coupé 218 domaines de Gootloader et nettoyé 681 sites infectés.
CastleRAT est apparu en 2025 et permet à un attaquant de piloter un ordinateur infecté à distance. Selon Europol, il était conçu pour être difficile à détecter et a servi dans des attaques qui ont chiffré des données, paralysé des systèmes informatiques entiers et forcé des entreprises à payer des rançons. La police a saisi 120 serveurs et 39 domaines de CastleRAT. StealC aspirait les mots de passe enregistrés, les identifiants et les identités numériques des ordinateurs infectés, qui étaient ensuite revendus. La police a coupé 102 serveurs de StealC. En juin 2026, la même opération avait déjà frappé StealC avec Amadey et SocGholish, mais le voleur avait continué à fonctionner.
D'après Europol, les suspects revendaient les identifiants volés, et les acheteurs s'en servaient pour d'autres attaques, notamment par rançongiciel. The420.in cite les pays participants : Bulgarie, Canada, Danemark, Allemagne, Moldavie, Pays-Bas, Pologne, Royaume-Uni et États-Unis.
Comment les victimes seront averties
Europol indique que les données des victimes seront transmises à Have I Been Pwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, la Shadowserver Foundation et le NCSC néerlandais. Le communiqué rattache ces alertes aux victimes de CastleRAT. Il ne précise pas si les identifiants volés par StealC seront partagés de la même façon.
Que faire maintenant
- Inscrivez votre adresse e-mail aux alertes de Have I Been Pwned. Si elle figure dans les données transmises au service, vous recevrez un message.
- Si vous recevez une telle alerte, vérifiez d'abord votre ordinateur. Changer de mot de passe sur une machine infectée ne sert à rien : les nouveaux seront volés aussi.
- Changez ensuite, depuis un appareil sain, les mots de passe de votre messagerie, de votre banque et de vos réseaux sociaux, et activez la double authentification.
- Si vous gérez un site WordPress, Europol conseille de changer les identifiants d'administration, d'activer la connexion à deux facteurs et de mettre à jour le cœur, les thèmes et les extensions.
• 6.4 million victim datasets secured in international operation against malware networks - Europol / Operation Endgame
• Operation Endgame malware takedown turns up over 6 million stolen logins - Help Net Security
• Europol Disrupts Three Malware Networks, Identifies 6.4 Million Stolen Credentials - The420.in
