Operación Endgame: Desmantelan red criminal y rescatan 6.4 millones de credenciales

Una operación internacional coordinada por Europol y múltiples agencias policiales desmanteló infraestructuras de tres kits de malware clave para el ransomware. La acción resultó en la incautación de cientos de servidores y la recuperación de millones de credenciales robadas.

Europol, en colaboración con socios del sector privado y autoridades de nueve países, anunció el desmantelamiento de infraestructuras críticas vinculadas a tres herramientas de malware utilizadas para el robo de datos y ataques de ransomware. La operación, denominada Operation Endgame, logró incautar 235 servidores y 257 dominios, identificando credenciales pertenecientes a 6.4 millones de víctimas.

Infraestructura de 'Ciberdelincuencia como Servicio'

La operación se centró en el mercado de "cybercrime-as-a-service", donde actores de amenazas desarrollan y mantienen herramientas de malware para que otros las alquilen o compren con el fin de ejecutar extorsiones y fraudes. La ofensiva involucró a agencias de Bulgaria, Canadá, Dinamarca, Alemania, Moldavia, los Países Bajos, Polonia, el Reino Unido y Estados Unidos, sumando más de 30 socios públicos y privados.

Desmantelamiento de herramientas clave

Las autoridades identificaron y neutralizaron tres componentes principales de la red criminal. El primero fue CastleRAT, un troyano de acceso remoto (RAT) conocido desde 2025 que permitía el control total de equipos infectados; se incautaron 120 servidores y 39 dominios asociados a esta herramienta debido a sus complejos mecanismos de evasión.

El segundo componente fue Gootloader, un instalador (dropper) que se propagaba mediante documentos legales falsos en sitios de WordPress hackeados. En este caso, se derribaron 14 servidores, 218 dominios y se limpiaron 681 sitios web infectados. Finalmente, se desmanteló StealC, un software diseñado específicamente para extraer contraseñas y datos de máquinas comprometidas para su posterior reventa en el mercado negro. Los investigadores basaron esta acción en incautaciones realizadas en junio de 2026.

Por qué importa y qué hacer

La magnitud de esta operación demuestra cómo los actores de amenazas utilizan herramientas estandarizadas para escalar ataques de ransomware a gran escala. Para las organizaciones en Latinoamérica, el uso de herramientas como Gootloader en sitios web vulnerables representa un riesgo constante de acceso inicial. La disponibilidad de las credenciales robadas en plataformas como HaveIBeenPwned permite a las empresas identificar si sus usuarios han sido comprometidos.

• Actualice las credenciales de sus sitios WordPress y otros servicios web de inmediato.
• Implemente la autenticación de múltiples factores (MFA) en todas las cuentas corporativas.
• Aplique los parches de seguridad más recientes en sus plataformas de gestión de contenido.
• Monitoree las bases de datos de filtraciones para identificar credenciales comprometidas de sus usuarios.

Relacionado:
FBI vincula robo de $6.000 millones en Binance con Corea del Norte
Malware Yoba oculta un minero de criptomonedas tras binarios de OpenAI y Anthropic
Hackers chinos usan un día cero de VMware ESX y vulnerabilidades en firewalls

Fuente:
https://cyberscoop.com/operation-endgame-malware-takedown-gootloader-stealc-europol/

Nota elaborada por Ciberseguridad en español a partir de información publicada por Cyber Scoop. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.