Europol ontmantelt infrastructuur van Gootloader, CastleRAT en StealC malware

Europol en politiepartners uit negen landen hebben honderden servers en domeinen in beslag genomen die werden gebruikt door de malwarefamilies Gootloader, CastleRAT en StealC. Gootloader is een malwareloader die sinds 2020 actief is, StealC is een infostealer die inloggegevens, cryptowallets en andere gevoelige data van slachtoffers exfiltreert, en CastleRAT is een remote access trojan die vorig jaar opdook. Deze malwarefamilies zijn ingezet door diverse cybercriminelen, waaronder ransomwaregroepen.

De gezamenlijke actie maakt deel uit van Operation Endgame, een internationale samenwerking gericht op het bestrijden van cybercriminaliteit en cybercrime-as-a-service netwerken. Politie-instanties uit Bulgarije, Canada, Denemarken, Duitsland, Moldavië, Nederland, Polen, het Verenigd Koninkrijk en de Verenigde Staten werkten hierbij samen, onder coördinatie van Europol en Eurojust. Met hulp van private partners werden in totaal 257 domeinen en 235 servers in beslag genomen en geblokkeerd.

Op de getroffen infrastructuur werden 6,4 miljoen datasets van slachtoffers gevonden, afkomstig van systemen die met malware waren geïnfecteerd. Deze gegevens werden gebruikt voor verdere cyberaanvallen, waaronder ransomware. Europol meldde dat de criminelen deze gestolen credentials verkochten en inzetten voor nieuwe aanvallen. De slachtoffers worden via verschillende platforms gewaarschuwd, waaronder HaveIBeenPwned en NL-NCSC. WordPress-gebruikers worden geadviseerd hun inloggegevens te wijzigen, multi-factor authenticatie te activeren en kwetsbaarheden te patchen.

Eerdere fases van Operation Endgame richtten zich onder meer op het opruimen van bijna 15.000 met malware geïnfecteerde WordPress-sites en het ontmantelen van infrastructuur van onder andere de SocGholish botnet en de Russische cybercrimegroep Evil Corp. Ook werden in eerdere acties duizenden servers van andere malwarefamilies zoals Rhadamanthys, VenomRAT en Elysium uitgeschakeld.