La polizia spegne tre reti di malware e trova 6 milioni di credenziali rubate
Le polizie di nove Paesi, coordinate da Europol, hanno spento i server dietro tre malware: il loader Gootloader, il trojan di accesso remoto CastleRAT e il ladro di password StealC. Secondo l'annuncio di Europol del 12 novembre, insieme a partner privati sono stati sequestrati o disattivati 235 server e 257 domini. Su quei server gli investigatori hanno trovato oltre 6 milioni di credenziali rubate da computer infetti. Il titolo del comunicato parla di 6,4 milioni di set di dati delle vittime.
In breve
- L'azione fa parte dell'Operazione Endgame, la campagna internazionale contro gli strumenti che aprono la strada ai ransomware.
- I dati delle vittime di CastleRAT andranno a Have I Been Pwned e ad altri servizi di allerta, così chi ha subito il furto delle password potrà saperlo.
- In questa fase Europol non ha annunciato arresti.
Cosa facevano i tre programmi
Gootloader è attivo dal 2020. I suoi operatori violavano siti, spesso basati su WordPress, e vi caricavano falsi documenti legali. Chi scaricava uno di questi file infettava il proprio computer, e Gootloader scaricava poi altri malware, ransomware compresi. La polizia ha disattivato 218 domini di Gootloader e ripulito 681 siti infetti.
CastleRAT è comparso nel 2025 e permette a un aggressore di controllare a distanza un computer infetto. Secondo Europol era costruito per essere difficile da rilevare ed è stato usato in attacchi che hanno cifrato dati, paralizzato interi sistemi informatici e costretto aziende a pagare riscatti. La polizia ha sequestrato 120 server e 39 domini di CastleRAT. StealC sottraeva dai computer infetti password salvate, credenziali e identità digitali, poi rivendute. La polizia ha disattivato 102 server di StealC. Già a giugno 2026 la stessa operazione aveva colpito StealC insieme ad Amadey e SocGholish, ma il programma aveva continuato a funzionare.
Secondo Europol, i sospettati vendevano le credenziali rubate e gli acquirenti le usavano per altri attacchi, anche ransomware. The420.in elenca i Paesi partecipanti: Bulgaria, Canada, Danimarca, Germania, Moldavia, Paesi Bassi, Polonia, Regno Unito e Stati Uniti.
Come lo sapranno le vittime
Europol afferma che i dati delle vittime saranno trasmessi a Have I Been Pwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, la Shadowserver Foundation e l'NCSC olandese. Il comunicato collega questi avvisi alle vittime di CastleRAT. Non dice se le credenziali rubate da StealC saranno condivise allo stesso modo.
Cosa fare adesso
- Iscrivete la vostra email agli avvisi di Have I Been Pwned. Se l'indirizzo compare nei dati trasmessi al servizio, riceverete un messaggio.
- Se l'avviso arriva, controllate prima il computer. Cambiare le password su una macchina infetta è inutile: rubano anche quelle nuove.
- Poi cambiate da un dispositivo pulito le password di email, banca e social e attivate l'autenticazione a due fattori.
- Se gestite un sito WordPress, Europol consiglia di cambiare le credenziali di amministratore, attivare l'accesso a due fattori e aggiornare core, temi e plugin.
• 6.4 million victim datasets secured in international operation against malware networks - Europol / Operation Endgame
• Operation Endgame malware takedown turns up over 6 million stolen logins - Help Net Security
• Europol Disrupts Three Malware Networks, Identifies 6.4 Million Stolen Credentials - The420.in
