La Agencia de la Unión Europea para la Cooperación Judicial Penal (Europol) anunció el éxito de una importante operación internacional que condujo al desmantelamiento de la infraestructura de tres de las familias de programas maliciosos más peligrosas actualmente activas: Gootloader, CastleRAT y StealC. La operación resultó en la confiscación de 257 dominios de internet y 235 servidores que se utilizaban para gestionar ciberataques y almacenar datos robados a millones de víctimas en todo el mundo.
El software objetivo se encuentra entre las herramientas esenciales en el arsenal del ciberdelito; el programa Gootloader ha funcionado como un cargador (Loader) de programas dañinos desde 2020, mientras que StealC se especializa en el robo de datos confidenciales como contraseñas y carteras de criptomonedas. Por su parte, CastleRAT es un troyano de acceso remoto (RAT) que apareció el año pasado y otorga a los atacantes el control total de los dispositivos infectados. Este software se ha vinculado estrechamente con las operaciones de las bandas mundiales de programas de rescate (Ransomware).
Detalles de la Operación Endgame (Operation Endgame)
Este golpe se produce como parte de la "Operación Endgame", un esfuerzo internacional en curso dirigido contra las redes de "delito cibernético como servicio". En esta fase participaron agencias de aplicación de la ley de nueve países, incluidos Estados Unidos, el Reino Unido, Alemania, Países Bajos, Polonia, Dinamarca, Bulgaria, Canadá y Moldavia, con la coordinación directa de "Europol" y "Eurojust".
Las autoridades revelaron el hallazgo de 6,4 millones de conjuntos de datos robados dentro de la infraestructura criminal, que incluían credenciales y contraseñas extraídas de sistemas infectados para su venta o uso en ataques posteriores. Para limitar los daños, estos datos se proporcionarán a través de plataformas especializadas como HaveIBeenPwned, DIVD y NoMoreLeaks para alertar a las víctimas y asegurar sus cuentas afectadas.
¿Qué cambia en la práctica tras este desmantelamiento?
Esta operación representa un cambio estratégico en el enfrentamiento al crimen organizado digital, ya que las autoridades no se limitan a perseguir a individuos, sino que se centran en destruir los "activos técnicos" de los que dependen estas bandas. La interrupción de 235 servidores significa paralizar la capacidad de los atacantes para comunicarse con los dispositivos actualmente infectados, lo que otorga a las empresas y a los usuarios una ventana de tiempo para asegurar sus sistemas antes de que los criminales puedan reconstruir su infraestructura.
Este golpe no fue el primero dentro de la "Operación Endgame"; el pasado mes de junio, se limpiaron cerca de 15.000 sitios de "WordPress" infectados y se confiscaron servidores vinculados al grupo ruso "Evil Corp". Las fases anteriores también tuvieron como objetivo programas famosos como IcedID, Trickbot y Smokeloader, lo que refleja una determinación internacional para secar las fuentes de estos ataques.
Recomendaciones de seguridad para usuarios y empresas
Basándose en los datos técnicos revelados por la operación, los expertos recomiendan tomar los siguientes pasos:
- Asegurar las plataformas de contenido: Los usuarios de WordPress deben actualizar las credenciales de inmediato, activar la autenticación multifactor (MFA) y cerrar las vulnerabilidades de seguridad en complementos y plantillas.
- Verificación de fugas de datos: Se recomienda utilizar las plataformas confiables mencionadas en la operación para comprobar si sus datos personales se encuentran entre los 6,4 millones de registros recuperados.
- Actualización de los sistemas defensivos: El software como StealC sigue dependiendo de vulnerabilidades de software conocidas para propagarse, por lo que la actualización periódica de los sistemas sigue siendo la primera y más importante línea de defensa.