Internationale opsporingsdiensten hebben honderden servers en domeinen in beslag genomen die werden gebruikt door de malwareoperaties achter Gootloader, CastleRAT en StealC. De actie maakt deel uit van Operation Endgame, een bredere internationale campagne tegen cybercrime-as-a-service en malware-infrastructuur.
Bevestigd: 257 domeinen en 235 servers uitgeschakeld
Bij de operatie waren opsporingsdiensten uit negen landen betrokken: Bulgarije, Canada, Denemarken, Duitsland, Moldavië, Nederland, Polen, het Verenigd Koninkrijk en de Verenigde Staten. Europol en Eurojust coördineerden de actie. Ook private partners hielpen mee met het identificeren, overnemen, blokkeren en uit de lucht halen van infrastructuur die aan de drie malwarefamilies werd gekoppeld.
Volgens de bekendgemaakte cijfers zijn 257 domeinen en 235 servers in beslag genomen. Op de aangevallen infrastructuur werden daarnaast 6,4 miljoen datasets van slachtoffers aangetroffen. Europol spreekt daarbij over meer dan 6 miljoen buitgemaakte inloggegevens die na infecties waren verzameld. Zulke gegevens kunnen worden doorverkocht of opnieuw worden ingezet bij andere aanvallen, waaronder ransomware-incidenten.
Drie malwarefamilies met verschillende rollen
De actie richtte zich op Gootloader, CastleRAT en StealC. Gootloader is een malwareloader die sinds 2020 actief is. Een loader heeft als functie om toegang tot een systeem te verkrijgen en vervolgens andere malware te installeren of mogelijk te maken.
StealC is een infostealer. Dit type malware is ontworpen om gegevens van besmette systemen te verzamelen en weg te sluizen. In de beschikbare informatie worden onder meer inloggegevens, cryptowallets en andere gevoelige informatie genoemd.
CastleRAT is een remote access trojan die in 2025 opdook. Een RAT kan aanvallers op afstand toegang geven tot een geïnfecteerd systeem. De drie malwarefamilies zijn volgens de autoriteiten gebruikt door uiteenlopende criminele groepen, waaronder ransomwarebendes.
Slachtofferdata wordt gedeeld met waarschuwingsplatforms
De aangetroffen slachtoffergegevens worden beschikbaar gesteld via meerdere meld- en controleplatforms. Genoemd zijn onder meer HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation en het Nederlandse Nationaal Cyber Security Centrum. Het doel daarvan is om slachtoffers te kunnen waarschuwen voor buitgemaakte gegevens die verband houden met CastleRAT.
Europol roept WordPress-gebruikers op om inloggegevens te vernieuwen, multifactorauthenticatie in te schakelen en kwetsbaarheden te patchen. Die oproep past bij het beeld dat gestolen accounts en kwetsbare websites een belangrijke rol kunnen spelen in de verspreiding van malware en de voorbereiding van vervolgcriminaliteit.
Analyse: waarom deze infrastructuur belangrijk is
De ontmanteling van servers en domeinen raakt niet alleen de directe malwarecampagnes. Criminele malware-ecosystemen bestaan vaak uit losse onderdelen: loaders die toegang verschaffen, infostealers die gegevens verzamelen, RAT’s die beheer op afstand mogelijk maken en marktplaatsen of tussenpersonen die de buit verhandelen. Door infrastructuur weg te nemen, proberen opsporingsdiensten die keten te onderbreken.
Voor organisaties is vooral de hoeveelheid gevonden slachtofferdata relevant. Inloggegevens vormen vaak de brug tussen een eerste besmetting en een veel grotere aanval. Een gestolen wachtwoord kan toegang geven tot e-mail, cloudomgevingen, beheerderspanelen of interne systemen. In ransomwarezaken worden eerder buitgemaakte gegevens regelmatig gebruikt om sneller binnen te komen of om rechten uit te breiden.
Voor particulieren is de dreiging eveneens concreet. Infostealers richten zich niet alleen op bedrijfsomgevingen, maar ook op browsers, opgeslagen wachtwoorden en cryptowallets op persoonlijke apparaten. Wanneer zulke gegevens eenmaal op criminele infrastructuur belanden, kunnen ze later opnieuw opduiken in fraude, accountovername of gerichte phishing.
Operation Endgame bouwt voort op eerdere acties
De nieuwe actie past in een reeks eerdere ingrepen onder de naam Operation Endgame. In juni werden bijna 15.000 met malware besmette WordPress-sites opgeschoond en 106 servers in beslag genomen die werden gebruikt door de SocGholish-botnetoperatie en de Russische cybercrimegroep Evil Corp.
Later die maand werd infrastructuur verstoord die door Amadey en StealC werd gebruikt. Daarbij gingen 326 servers en 142 domeinen offline en werden ongeveer 27 miljoen gestolen inloggegevens teruggevonden, afkomstig van meer dan 385.000 gecompromitteerde systemen.
Een jaar eerder werden binnen dezelfde internationale aanpak meer dan 1.000 servers uitgeschakeld die verband hielden met Rhadamanthys, VenomRAT en Elysium. Operation Endgame richtte zich daarnaast eerder op onder meer klanten en servers van Smokeloader, ransomware-infrastructuur, AVCheck en malwarefamilies zoals DanaBot, IcedID, Pikabot, Trickbot, Bumblebee en SystemBC.
De huidige ontmanteling laat zien dat opsporingsdiensten zich niet alleen op individuele verdachten of afzonderlijke aanvallen richten, maar ook op de onderliggende diensten waarmee cybercriminelen op grote schaal toegang, gegevensdiefstal en vervolgmisbruik organiseren.
Bron: bleepingcomputer.com
