Nederlandse politie verwijdert servers van Gootloader- en CastleRAT-malware en vindt miljoenen gestolen persoonsgegevens.
De Nederlandse politie heeft tijdens een internationale actie servers en domeinnamen van de Gootloader- en CastleRAT-malware offline gehaald. Bij deze operatie werden miljoenen gestolen persoonsgegevens aangetroffen en honderden geïnfecteerde websites opgeschoond.
De Gootloader-malware werd verspreid via gehackte WordPress-sites, waarbij aanvallers malafide code plaatsten en door middel van zoekmachineoptimalisatie (SEO) deze sites hoger in zoekresultaten lieten verschijnen. Bezoekers van deze sites werden automatisch doorgestuurd naar een criminele website die een bestand met Gootloader aanbood. Deze malware kon vervolgens extra schadelijke software installeren. Volgens de politie was Gootloader een van de meest gebruikte en gevaarlijke malwarevarianten van de afgelopen jaren. In Nederland werden veertien servers offline gehaald, 218 domeinnamen in beslag genomen en 681 websites opgeschoond. Hoe de infecties zijn verwijderd is niet bekendgemaakt.
Daarnaast werd tijdens de operatie ook de CastleRAT-malware aangepakt. Van deze malware werden wereldwijd 120 servers offline gehaald, waarvan zes in Nederland, en 39 domeinen in beslag genomen. CastleRAT gaf aanvallers toegang tot systemen van slachtoffers, waarmee zij inloggegevens en andere data konden stelen. Deze gegevens werden vervolgens verkocht en misbruikt. De malware werd onder andere verspreid via zogenaamde ClickFix-aanvallen. Tijdens het onderzoek vond de politie 6,4 miljoen persoonsgegevens die door CastleRAT waren buitgemaakt.
Slachtoffers kunnen via de website Checkjehack.nl controleren of zij getroffen zijn door CastleRAT. De politie geeft aan dat de komende weken meer persoonsgegevens aan deze database worden toegevoegd. Daarnaast wordt de slachtofferdata gedeeld met verschillende organisaties, waaronder The Shadowserver Foundation, HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks en het Nationaal Cyber Security Centrum (NCSC).
