Europol y policías de nueve países desmantelaron la infraestructura de tres programas maliciosos que robaban contraseñas y daban acceso remoto a computadoras: Gootloader, CastleRAT y StealC. Las autoridades incautaron 235 servidores y 257 dominios y aseguraron 6,4 millones de conjuntos de datos de víctimas, según informó la agencia europea de policía.
La acción es una nueva fase de la Operación Endgame, que Europol describe como el mayor esfuerzo internacional contra quienes facilitan los ataques de secuestro de datos (ransomware). Participan más de 30 socios públicos y privados. Eurojust, el organismo de cooperación judicial de la Unión Europea, apoyó el intercambio de información entre fiscalías.
Intervinieron fuerzas de Bulgaria, Canadá, Dinamarca, Alemania, Moldavia, Países Bajos, Polonia, Reino Unido y Estados Unidos. En el caso estadounidense, el comunicado menciona al FBI, al Servicio de Investigación Criminal de Defensa y a la sección de delitos informáticos del Departamento de Justicia.
Europol explica que las tres herramientas funcionaban como un servicio que se alquila a otros delincuentes. Con ellas, los clientes de las redes criminales podían instalar ransomware o robar datos sin desarrollar su propio software.
Gootloader se distribuía mediante documentos legales falsos alojados en sitios web comprometidos, con frecuencia páginas hechas con WordPress. Quien descargaba el archivo quedaba infectado. En esta operación se dieron de baja 218 dominios y se limpiaron 681 sitios afectados, según el comunicado.
CastleRAT es un troyano de acceso remoto, conocido desde 2025, que permite controlar una computadora a distancia. Europol atribuye a su uso el cifrado de numerosos conjuntos de datos, la parálisis de sistemas informáticos completos y pagos de rescate de empresas y organizaciones.
StealC está diseñado para extraer contraseñas, datos de acceso guardados e identidades digitales de los equipos infectados, y ponerlos a disposición para su venta o su uso fraudulento. Europol señala que la acción contra StealC continúa los esfuerzos iniciados en junio de 2026.
BleepingComputer recuerda que, en junio, otra fase de Endgame afectó a las redes Amadey y StealC: se desactivaron 326 servidores y 142 dominios y se recuperaron cerca de 27 millones de credenciales robadas a más de 385.000 sistemas. Según ese medio, Gootloader opera desde 2020.
Durante la acción, las autoridades identificaron más de seis millones de credenciales de víctimas en la infraestructura incautada. Europol afirma que los sospechosos las usaban para venderlas y emplearlas en otros ataques, entre ellos el ransomware.
Los datos de las víctimas se cargarán en plataformas de aviso: HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation y el centro de ciberseguridad de los Países Bajos (NL-NCSC). El comunicado precisa que esas alertas corresponden a las credenciales robadas con CastleRAT.
A los administradores de sitios con WordPress, Europol les pidió cambiar las contraseñas, activar la verificación en dos pasos y corregir las vulnerabilidades. Gootloader se propagaba justamente a través de sitios de ese tipo que habían sido vulnerados.
El comunicado no informa de detenciones ni indica cuántas de las víctimas son usuarios particulares y cuántas empresas. Europol publicó el balance el 12 de noviembre de 2026, después de una semana de acciones coordinadas.
Recientemente, la firma de ciberseguridad Kaspersky descubrió BlackX, un bootkit que explota la vulnerabilidad Baton Drop para sortear Secure Boot en Windows incluso en equipos que ya tienen instalado el parche de Microsoft, dado que la actualización por sí sola no activa la protección completa y requiere pasos adicionales de configuración manual por parte de los administradores.
El malware, detectado durante una campaña de ciberespionaje contra organizaciones diplomáticas de Asia Central a principios de 2026, es una versión modernizada de BlackLotus y se utiliza como herramienta secundaria de alta persistencia una vez que los atacantes ya comprometieron la red interna y obtuvieron privilegios de administrador.
Tras desactivar el software de seguridad, BlackX habilita el espionaje mediante el abuso de servicios legítimos en la nube como Google Drive, OneDrive y Yandex Disk. Kaspersky recomienda verificar que la configuración de seguridad se complete en su totalidad, limitar los privilegios de administrador y monitorear de forma continua los sistemas corporativos.
