Dans le cadre d'une opération internationale de grande envergure connue sous le nom de "Operation Endgame", les agences de maintien de l'ordre aux États-Unis, en Europe, en Australie et au Canada ont réussi à saisir l'infrastructure de trois des familles de logiciels malveillants les plus dangereuses : Gootloader, CastleRAT et StealC. L'opération a abouti à la saisie de 235 serveurs et 257 domaines, ainsi qu'à la récupération de 6,4 millions de jeux d'identifiants de victimes.
Ces logiciels reposent sur le modèle du "Cybercrime-as-a-Service" (cybercriminalité en tant que service), étant utilisés pour faciliter les attaques par rançongiciel et le vol de données à grande échelle via des réseaux de distribution complexes.
Détails des logiciels ciblés
- Gootloader : Ce logiciel fonctionne depuis 2018 comme un chargeur (Dropper) pour d'autres logiciels malveillants, y compris des rançongiciels. Il utilise des sites web compromis contenant de faux documents juridiques pour propager ses infections. Selon le ministère américain de la Justice, ce logiciel a infecté plus de 25 000 appareils, causant aux États-Unis des dommages estimés à environ 28,8 millions de dollars. La récente opération a permis de supprimer le logiciel de 100 serveurs, tandis qu'Europol a saisi 14 serveurs et 218 domaines associés, tout en nettoyant 681 sites web infectés.
- CastleRAT : Ce cheval de Troie d'accès à distance (RAT), actif au moins depuis 2025, donne aux attaquants un contrôle total sur les appareils infectés pour les utiliser dans le chiffrement de fichiers et l'extorsion de rançons. Les raids ont conduit à la saisie de 120 serveurs et 39 domaines, et à la récupération de données incluant 180 000 adresses e-mail et 893 000 mots de passe uniques.
- StealC : Ce logiciel fonctionne comme un outil de vol de données (Stealer) et un chargeur (Dropper), se concentrant principalement sur le vol de mots de passe et d'identités. 102 serveurs lui appartenant ont été neutralisés au cours de cette campagne.
Qu'est-ce qui change concrètement ?
L'importance de cette opération réside dans le coup porté aux "chaînes d'approvisionnement" criminelles ; au lieu de simplement arrêter un seul logiciel, les autorités ont ciblé l'infrastructure qui permet aux criminels de vendre des données et de les utiliser dans des attaques ultérieures. De plus, le partage de 6,4 millions d'identifiants volés avec des organisations de sécurité telles que HaveIBeenPwned et The Shadowserver Foundation renforce la capacité de la communauté technique à protéger les utilisateurs et à les alerter avant que leurs données volées ne soient exploitées dans de nouvelles attaques par rançongiciel.