Polícia desliga três redes de malware e encontra 6 milhões de credenciais roubadas
As polícias de nove países, coordenadas pela Europol, desligaram os servidores de três programas maliciosos: o carregador Gootloader, o trojan de acesso remoto CastleRAT e o ladrão de palavras-passe StealC. Segundo o anúncio da Europol de 12 de novembro, em conjunto com parceiros privados foram apreendidos ou desligados 235 servidores e 257 domínios. Nesses servidores, os investigadores encontraram mais de 6 milhões de credenciais roubadas de computadores infetados. O título do comunicado fala em 6,4 milhões de conjuntos de dados de vítimas.
Em resumo
- A ação faz parte da Operação Endgame, a campanha internacional contra as ferramentas que abrem caminho ao ransomware.
- Os dados das vítimas do CastleRAT vão para o Have I Been Pwned e outros serviços de alerta, para que quem teve as palavras-passe roubadas fique a saber.
- A Europol não anunciou detenções nesta ronda.
O que faziam estes três programas
O Gootloader está ativo desde 2020. Os seus operadores invadiam sites, muitas vezes em WordPress, e colocavam neles documentos jurídicos falsos. Quem descarregava um desses ficheiros infetava o computador, e o Gootloader instalava depois outro malware, incluindo ransomware. A polícia desligou 218 domínios do Gootloader e limpou 681 sites infetados.
O CastleRAT surgiu em 2025 e permite a um atacante controlar à distância um computador infetado. Segundo a Europol, foi feito para ser difícil de detetar e usado em ataques que cifraram dados, paralisaram sistemas informáticos inteiros e obrigaram empresas a pagar resgates. A polícia apreendeu 120 servidores e 39 domínios do CastleRAT. O StealC tirava dos computadores infetados palavras-passe guardadas, credenciais e identidades digitais, que depois eram vendidas. A polícia desligou 102 servidores do StealC. Em junho de 2026 a mesma operação já tinha atingido o StealC juntamente com o Amadey e o SocGholish, mas o programa continuou a funcionar.
Segundo a Europol, os suspeitos vendiam as credenciais roubadas, e os compradores usavam-nas em novos ataques, incluindo de ransomware. O The420.in enumera os países participantes: Bulgária, Canadá, Dinamarca, Alemanha, Moldávia, Países Baixos, Polónia, Reino Unido e Estados Unidos.
Como as vítimas vão saber
A Europol diz que os dados das vítimas serão enviados para o Have I Been Pwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, a Shadowserver Foundation e o NCSC neerlandês. O comunicado associa estes alertas às vítimas do CastleRAT. Não diz se as credenciais roubadas pelo StealC serão partilhadas da mesma forma.
O que fazer agora
- Inscreva o seu email nos alertas do Have I Been Pwned. Se o endereço aparecer nos dados enviados ao serviço, receberá uma mensagem.
- Se receber esse alerta, verifique primeiro o computador. Mudar palavras-passe numa máquina infetada não serve de nada: as novas também serão roubadas.
- Depois mude, a partir de um dispositivo limpo, as palavras-passe do email, do banco e das redes sociais e ative a autenticação de dois fatores.
- Se gere um site em WordPress, a Europol aconselha mudar as credenciais de administrador, ativar o login com dois fatores e atualizar o núcleo, os temas e os plugins.
• 6.4 million victim datasets secured in international operation against malware networks - Europol / Operation Endgame
• Operation Endgame malware takedown turns up over 6 million stolen logins - Help Net Security
• Europol Disrupts Three Malware Networks, Identifies 6.4 Million Stolen Credentials - The420.in
