Opération Endgame : saisie de 6,4 millions d'identifiants volés issus de Gootloader et StealC

Une coalition internationale chargée de l'application de la loi a mené cette semaine l'opération Endgame, démantelant l'infrastructure derrière trois grandes familles de logiciels malveillants : Gootloader, CastleRAT et StealC. L'opération a permis la saisie d'environ 6,4 millions d'identifiants volés appartenant à plus de 40 000 victimes, ainsi que la fermeture de centaines de serveurs et de domaines utilisés pour distribuer ces menaces.

Ce qui s'est passé

L'action coordonnée visait les systèmes backend permettant aux criminels d'infecter des ordinateurs, de voler des données et de déployer des ransomwares. Selon l'Office fédéral allemand de la police criminelle (BKA), les autorités ont saisi 235 serveurs et 257 domaines dans le cadre des trois opérations liées aux malwares. Europol a soutenu la campagne, qui se concentrait sur la perturbation des outils utilisés par les attaquants pour obtenir un premier accès aux réseaux des victimes.

Gootloader, un chargeur de malware ayant infecté des millions d'ordinateurs depuis 2020, était une cible principale. Il se propage en plaçant de faux documents juridiques sur des sites web compromis, souvent des installations WordPress, en utilisant l'empoisonnement du référencement naturel (SEO) pour classer ces pages en haut des résultats. Une fois que l'utilisateur télécharge le document, le chargeur installe d'autres malwares, fréquemment des ransomwares. Aux États-Unis uniquement, Gootloader a facilité des attaques par ransomware contre au moins 44 victimes, causant environ 28,8 millions de dollars de pertes. Lors de cette opération, la police a supprimé les malwares de 681 sites web piratés et fermé 14 serveurs et 218 domaines associés au groupe.

L'opération a également frappé CastleRAT, un cheval de Troie d'accès à distance identifié en 2025, et StealC, un voleur d'informations conçu pour exfiltrer les mots de passe. Les autorités ont saisi 120 serveurs et 39 domaines liés à CastleRAT. L'infrastructure de StealC a été touchée à nouveau après une première perturbation en juin ; ses opérateurs avaient reconstruit leur réseau en utilisant des services d'hébergement « bulletproof » comme Virtualine/Omegatech, eux-mêmes fermés fin octobre. Aucune arrestation n'a été annoncée dans le cadre de cette action hebdomadaire spécifique, bien que la police néerlandaise poursuive ses enquêtes sur le principal suspect lié à Gootloader.

Détails clés

• Ampleur du vol : Environ 6,4 millions d'identifiants volés provenant de plus de 40 000 victimes ont été saisis par les autorités.
• Infrastructure supprimée : La police a fermé 235 serveurs et 257 domaines dans les opérations Gootloader, CastleRAT et StealC.
• Impact sur WordPress : Des malwares ont été retirés de 681 sites web piratés, dont beaucoup étaient des sites WordPress utilisés pour héberger de faux documents juridiques destinés à l'empoisonnement SEO.
• Dommages financiers : Aux États-Unis, les attaques par ransomware liées à Gootloader ont causé des pertes estimées à 28,8 millions de dollars pour 44 victimes connues.
• Récidive : Les opérateurs de StealC ont reconstruit leur infrastructure après une fermeture en juin, s'appuyant sur des fournisseurs d'hébergement favorables aux cybercriminels avant cette dernière perturbation.
• Notification aux victimes : Les données volées sont partagées avec des services tels que Have I Been Pwned et la Shadowserver Foundation afin d'aider à identifier les comptes compromis.

Contexte

Gootloader fonctionne comme un « loader », ce qui signifie que sa fonction principale est d'établir une présence sur l'ordinateur d'une victime, puis de télécharger d'autres charges utiles malveillantes. Il repose fortement sur l'« empoisonnement SEO », une technique où les attaquants créent des pages web contenant des termes de recherche populaires afin qu'ils apparaissent en tête des résultats. Les utilisateurs cherchant des formulaires juridiques légitimes ou des mises à jour logicielles téléchargent involontairement le malware à la place.

CastleRAT est un cheval de Troie d'accès à distance (RAT), qui donne aux attaquants un contrôle total sur une machine infectée, leur permettant de se déplacer latéralement à travers un réseau. StealC est un « infostealer », spécifiquement conçu pour extraire des navigateurs et des fichiers système les mots de passe enregistrés, les cookies et les jetons de session. Ces outils sont souvent vendus ou loués sur des forums de cybercriminalité, permettant à des criminels moins techniques de lancer des attaques sophistiquées.

Pourquoi c'est important

Pour les équipes qui auto-hébergent des logiciels, en particulier des sites WordPress, cette opération met en évidence le risque persistant de compromission de la chaîne d'approvisionnement et de la plateforme. Les 681 sites nettoyés démontrent que même des plateformes réputées peuvent être armées si les administrateurs ne maintiennent pas une hygiène de sécurité stricte. Les attaquants obtiennent souvent un accès via des identifiants volés ou des plugins non corrigés, puis installent des backdoors qui persistent même si la vulnérabilité initiale est corrigée. Cela signifie que la simple mise à jour du logiciel peut ne pas suffire si un point d'accès caché subsiste.

La saisie de 6,4 millions d'identifiants souligne la valeur de la réutilisation des identifiants dans les attaques modernes. Si votre organisation utilise des mots de passe apparus lors de violations précédentes, vous êtes plus susceptible d'être ciblé par des loaders comme Gootloader ou des stealers comme StealC. De plus, le fait que les opérateurs de StealC aient rapidement reconstruit leur infrastructure après une fermeture en juin montre que ces menaces sont résilientes. Compter uniquement sur les actions externes des forces de l'ordre n'est pas une stratégie de sécurité viable ; les défenses internes doivent supposer que l'infrastructure des malwares réapparaîtra toujours.

Ce que vous pouvez faire

• Auditer les comptes administrateur : Supprimez immédiatement tout compte utilisateur non reconnu de vos applications WordPress ou auto-hébergées.
• Imposer une authentification forte : Changez tous les mots de passe admin pour des chaînes uniques et complexes d'au moins 12 caractères et activez l'authentification multifacteur (MFA) partout où c'est possible.
• Restreindre l'accès admin : Configurez votre serveur web pour autoriser l'accès aux pages /wp-admin ou équivalentes uniquement depuis des adresses IP connues et fiables.
• Rechercher les backdoors : Ne vous contentez pas de mettre à jour les plugins ; scannez activement votre base de code pour détecter les fichiers inconnus ou les fichiers cœur modifiés qui pourraient servir de backdoors persistantes.
• Vérifier la compromission : Utilisez des services comme "Check your hack" ou Have I Been Pwned pour voir si les adresses e-mail de votre organisation apparaissent dans les dumps de données volées de StealC ou CastleRAT.
• Tout mettre à jour : Assurez-vous que le cœur WordPress, les thèmes et les plugins sont mis à jour vers les dernières versions pour combler les vulnérabilités connues exploitées par les loaders.