En una operación internacional a gran escala conocida como "Operation Endgame", las agencias de aplicación de la ley en Estados Unidos, Europa, Australia y Canadá lograron incautar la infraestructura de tres de las familias de software malicioso más peligrosas: Gootloader, CastleRAT y StealC. La operación resultó en la incautación de 235 servidores y 257 dominios, además de la recuperación de 6.4 millones de conjuntos de credenciales de víctimas.
Estos programas maliciosos se basan en el modelo de "ciberdelincuencia como servicio" (Cybercrime-as-a-Service), utilizándose para facilitar ataques de ransomware y el robo masivo de datos a través de complejas redes de distribución.
Detalles del software objetivo
- Gootloader: Este software ha operado desde 2018 como una herramienta de carga (Dropper) para otros programas maliciosos, incluidos los programas de ransomware. Utiliza sitios web comprometidos que contienen documentos legales falsos para propagar sus infecciones. Según el Departamento de Justicia de los Estados Unidos, este software ha infectado más de 25,000 dispositivos, causando daños a los Estados Unidos por valor de unos 28.8 millones de dólares. La reciente operación condujo a la eliminación del software de 100 servidores, y Europol incautó 14 servidores y 218 dominios vinculados a él, además de limpiar 681 sitios web infectados.
- CastleRAT: Este troyano de acceso remoto (RAT), activo al menos desde 2025, otorga a los atacantes control total sobre los dispositivos infectados para utilizarlos en el cifrado de archivos y la solicitud de rescates. Las redadas resultaron en la incautación de 120 servidores y 39 dominios, y la recuperación de datos que incluyen 180,000 direcciones de correo electrónico y 893,000 contraseñas únicas.
- StealC: Este software funciona como una herramienta de robo de datos (Stealer) y una herramienta de carga (Dropper), centrándose principalmente en el robo de contraseñas e identidad. Se han desactivado 102 servidores asociados a él durante esta campaña.
¿Qué cambia en la práctica?
La importancia de esta operación radica en golpear las "cadenas de suministro" criminales; en lugar de simplemente detener un solo software, las autoridades atacaron la infraestructura que permite a los delincuentes vender datos y utilizarlos en ataques posteriores. Además, compartir 6.4 millones de credenciales robadas con organizaciones de seguridad como HaveIBeenPwned y The Shadowserver Foundation fortalece la capacidad de la comunidad técnica para proteger a los usuarios y alertarlos antes de que sus datos robados sean explotados en nuevos ataques de ransomware.