La operación Endgame incauta 6,4 millones de credenciales robadas de Gootloader y StealC

Una coalición internacional de fuerzas del orden ejecutó esta semana la Operación Endgame, desmantelando la infraestructura detrás de tres familias principales de malware: Gootloader, CastleRAT y StealC. La operación resultó en la incautación de aproximadamente 6,4 millones de credenciales de inicio de sesión robadas pertenecientes a más de 40.000 víctimas, junto con la eliminación de cientos de servidores y dominios utilizados para distribuir estas amenazas.

Qué ocurrió

La acción coordinada tuvo como objetivo los sistemas backend que permiten a los criminales infectar computadoras, robar datos y desplegar ransomware. Según la Oficina Federal de Investigación Criminal de Alemania (BKA), las autoridades incautaron 235 servidores y 257 dominios en las tres operaciones de malware. Europol apoyó la campaña, centrada en interrumpir las herramientas que los atacantes usan para obtener acceso inicial a las redes de las víctimas.

Gootloader, un cargador de malware que ha infectado millones de computadoras desde 2020, fue un objetivo principal. Se propaga colocando documentos legales falsos en sitios web comprometidos, a menudo instalaciones de WordPress, utilizando el envenenamiento de SEO para posicionar estas páginas en los primeros puestos. Una vez que un usuario descarga el documento, el cargador instala malware adicional, frecuentemente ransomware. Solo en Estados Unidos, Gootloader facilitó ataques de ransomware contra al menos 44 víctimas, causando pérdidas de aproximadamente 28,8 millones de dólares. Durante esta operación, la policía eliminó malware de 681 sitios web hackeados y derribó 14 servidores y 218 dominios asociados con el grupo.

La operación también golpeó a CastleRAT, un troyano de acceso remoto identificado en 2025, y a StealC, un infostealer diseñado para exfiltrar contraseñas. Las autoridades incautaron 120 servidores y 39 dominios vinculados a CastleRAT. La infraestructura de StealC fue golpeada nuevamente después de una interrupción previa en junio; sus operadores habían reconstruido su red utilizando servicios de hosting blindado como Virtualine/Omegatech, que fueron derribados a finales de octubre. No se anunciaron arrestos como parte de esta acción semanal específica, aunque la policía holandesa continúa investigando al principal sospechoso de Gootloader.

Detalles clave

• Escala del robo: Aproximadamente 6,4 millones de inicios de sesión robados de más de 40.000 víctimas fueron incautados por las autoridades.
• Infraestructura eliminada: La policía derribó 235 servidores y 257 dominios en las operaciones de Gootloader, CastleRAT y StealC.
• Impacto en WordPress: Se eliminó malware de 681 sitios web hackeados, muchos de los cuales eran sitios WordPress utilizados para alojar documentos legales falsos para el envenenamiento de SEO.
• Daño financiero: En EE. UU., los ataques de ransomware vinculados a Gootloader causaron pérdidas estimadas de 28,8 millones de dólares en 44 víctimas conocidas.
• Reincidencia: Los operadores de StealC reconstruyeron su infraestructura tras una caída en junio, dependiendo de proveedores de hosting favorables a los criminales antes de esta última interrupción.
• Notificación a las víctimas: Los datos robados se están compartiendo con servicios como Have I Been Pwned y la Shadowserver Foundation para ayudar a identificar cuentas comprometidas.

Antecedentes

Gootloader opera como un "cargador" (loader), lo que significa que su función principal es establecer una posición en la computadora de la víctima y luego descargar otras cargas útiles maliciosas. Depende fuertemente del "envenenamiento de SEO", una técnica donde los atacantes crean páginas web con términos de búsqueda populares para que aparezcan en la parte superior de los resultados. Los usuarios que buscan formularios legales legítimos o actualizaciones de software descargan inadvertidamente el malware en su lugar.

CastleRAT es un Troyano de Acceso Remoto (RAT), que otorga a los atacantes control total sobre una máquina infectada, permitiéndoles moverse lateralmente a través de una red. StealC es un "infostealer", diseñado específicamente para extraer contraseñas guardadas, cookies y tokens de sesión de navegadores y archivos del sistema. Estas herramientas a menudo se venden o alquilan en foros de ciberdelincuencia, permitiendo a criminales menos técnicos lanzar ataques sofisticados.

Por qué importa

Para los equipos que alojan software por su cuenta, especialmente sitios WordPress, esta operación destaca el riesgo persistente de compromiso de la cadena de suministro y de la plataforma. Los 681 sitios web limpiados demuestran que incluso plataformas reputadas pueden ser armadas si los administradores no mantienen una higiene de seguridad estricta. Los atacantes a menudo obtienen entrada a través de credenciales robadas o plugins sin parches, y luego instalan puertas traseras que persisten incluso si se corrige la vulnerabilidad inicial. Esto significa que simplemente actualizar el software puede no ser suficiente si permanece un punto de acceso oculto.

La incautación de 6,4 millones de inicios de sesión subraya el valor de la reutilización de credenciales en los ataques modernos. Si su organización utiliza contraseñas que han aparecido en violaciones previas, tiene un mayor riesgo de ser objetivo de cargadores como Gootloader o ladrones de información como StealC. Además, el hecho de que los operadores de StealC reconstruyeran rápidamente su infraestructura tras una caída en junio muestra que estas amenazas son resilientes. Confiar únicamente en acciones externas de las fuerzas del orden no es una estrategia de seguridad viable; las defensas internas deben asumir que la infraestructura de malware siempre volverá a emerger.

Qué puede hacer

• Auditar cuentas de administrador: Elimine inmediatamente cualquier cuenta de usuario no reconocida de su WordPress o aplicaciones autoalojadas.
• Aplicar autenticación fuerte: Cambie todas las contraseñas de administrador a cadenas únicas y complejas de al menos 12 caracteres y habilite la autenticación multifactor (MFA) siempre que sea posible.
• Restringir el acceso de administrador: Configure su servidor web para permitir el acceso a las páginas de inicio de sesión /wp-admin o equivalentes solo desde direcciones IP conocidas y confiables.
• Escanear en busca de puertas traseras: No solo actualice los plugins; escanee activamente su base de código en busca de archivos desconocidos o archivos centrales modificados que puedan servir como puertas traseras persistentes.
• Comprobar compromisos: Utilice servicios como "Check your hack" o Have I Been Pwned para ver si las direcciones de correo electrónico de su organización aparecen en los volcados de datos robados de StealC o CastleRAT.
• Actualizar todo: Asegúrese de que el núcleo, los temas y los plugins de WordPress estén actualizados a las últimas versiones para cerrar vulnerabilidades conocidas que explotan los cargadores.