Международная полиция добралась до серверов, на которых преступники хранили миллионы украденных учётных записей и готовили новые атаки. 12 ноября Европол сообщил о результатах операции Endgame против Gootloader, CastleRAT и StealC. Правоохранители девяти стран вместе с частными партнёрами вывели из строя 235 серверов и 257 доменов.
На захваченной инфраструктуре обнаружили около 6,4 млн наборов данных, собранных с заражённых компьютеров. Речь идёт о записях с учётными данными, а не о подтверждённом количестве уникальных пострадавших. Преступники продавали украденные пароли и сведения для входа, а покупатели могли использовать доступ для мошенничества, взлома корпоративных сетей и атак с вымогателями.
Одним из главных объектов операции стал Gootloader, который заманивал пользователей поддельными юридическими документами через взломанные сайты WordPress. Ссылки на заражённые страницы продвигались в поиске, после чего посетителям предлагали скачать вредоносный файл. В рамках операции отключили 14 серверов, изъяли 218 доменов и очистили 681 заражённый сайт.
Датская полиция сообщила, что преступники, предположительно, использовали ранее украденные пароли администраторов для захвата сайтов. Злоумышленники размещали на страницах бэкдоры и код для доставки Gootloader. Сотрудники полиции удалили вредоносные компоненты, закрыли несанкционированный доступ и оставили владельцам сайтов сообщения о необходимых мерах защиты.
Ещё одной целью стал CastleRAT, троян удалённого доступа, известный с 2025 года. CastleRAT позволял злоумышленникам управлять компьютерами жертв, запускать дополнительные программы и похищать сведения. Европол связывает применение трояна с шифрованием данных, остановкой работы организаций и выплатами выкупов. В ходе операции отключили 120 серверов и изъяли 39 доменов.
Инфостилер StealC крал пароли, цифровые идентификаторы и другую информацию для последующей продажи. Борьба с преступной инфраструктурой продолжается после июньского этапа Endgame. К ноябрю правоохранители сообщили об отключении 102 серверов StealC, включая 80 силами полиции Нидерландов. Летом в ходе более широкой операции против нескольких семейств вредоносов нашли ещё около 27 млн похищенных записей.
Доступ к украденным учётным данным не исчезает автоматически после отключения серверов. Информацию, связанную с CastleRAT, планируют передать сервисам Have I Been Pwned, CheckjeHack, DIVD и другим организациям, которые уведомляют жертв. Европол советует владельцам WordPress обновить систему и плагины, сменить пароли и включить многофакторную аутентификацию.
Ноябрьская акция затронула не отдельную уязвимость WordPress, а преступную инфраструктуру, которая использовала скомпрометированные сайты и заражённые компьютеры. О задержаниях в связи с новым этапом Европол не сообщил. Полиция Нидерландов также провела следственные действия в отношении предполагаемого главного организатора Gootloader. Отключение управляющих серверов не гарантирует устранения всех заражений и ранее украденных копий данных.
