Europol desmantela redes de malware que robaron 6,4 millones de datos

Europol, junto con policías de nueve países, desmanteló la infraestructura de tres herramientas de malware: Gootloader, CastleRAT y StealC. Según el comunicado, las autoridades incautaron 235 servidores y 257 dominios, y aseguraron 6,4 millones de conjuntos de datos de víctimas. Esta acción forma parte de la Operación Endgame, el mayor esfuerzo internacional contra delincuentes de ransomware, con la participación de más de 30 socios públicos y privados, incluyendo Eurojust, el organismo de cooperación judicial de la Unión Europea.

Las tres herramientas funcionaban como un servicio que se alquilaba a otros delincuentes, permitiendo a sus clientes instalar ransomware o robar datos sin desarrollar su propio software. Gootloader se distribuía mediante documentos legales falsos alojados en sitios web comprometidos, especialmente páginas hechas con WordPress. En esta operación, se dieron de baja 218 dominios y se limpiaron 681 sitios afectados.

CastleRAT es un troyano de acceso remoto que permite controlar una computadora a distancia. Europol atribuye a su uso el cifrado de datos, la parálisis de sistemas informáticos y pagos de rescate de empresas y organizaciones. StealC, por su parte, está diseñado para extraer contraseñas, datos de acceso y identidades digitales de los equipos infectados, poniéndolos a disposición para su venta o uso fraudulento.

Durante la operación, las autoridades identificaron más de seis millones de credenciales de víctimas en la infraestructura incautada. Europol afirma que los sospechosos las usaban para venderlas y emplearlas en otros ataques, incluyendo ransomware. Los datos de las víctimas se cargarán en plataformas de alerta como HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation y el centro de ciberseguridad de los Países Bajos (NL-NCSC). Estas alertas corresponden a las credenciales robadas con CastleRAT.

A los administradores de sitios con WordPress, Europol les pidió cambiar las contraseñas, activar la verificación en dos pasos y corregir las vulnerabilidades, ya que Gootloader se propagaba a través de sitios de ese tipo que habían sido vulnerados. El comunicado no informa de detenciones ni indica cuántas de las víctimas son usuarios particulares y cuántas empresas.

Por otro lado, la firma de ciberseguridad Kaspersky descubrió BlackX, un bootkit que explota la vulnerabilidad Baton Drop para sortear Secure Boot en Windows, incluso en equipos que ya tienen instalado el parche de Microsoft. BlackX se utilizó en una campaña de ciberespionaje contra organizaciones diplomáticas de Asia Central a principios de 2026. Kaspersky recomienda verificar que la configuración de seguridad se complete en su totalidad, limitar los privilegios de administrador y monitorear de forma continua los sistemas corporativos.