INCIDENTE
Operación Endgame: desmantelan Gootloader, CastleRAT y StealC y aseguran 6,4 millones de credenciales
Policías de nueve países y Europol incautaron 235 servidores y 257 dominios vinculados a tres herramientas de malware usadas para robar contraseñas y habilitar ataques de ransomware.
Una operación internacional coordinada por Europol y fuerzas policiales de nueve países desmanteló la infraestructura de tres programas maliciosos: Gootloader, CastleRAT y StealC. En total se incautaron 235 servidores y 257 dominios, y se aseguraron cerca de 6,4 millones de conjuntos de credenciales robadas a más de 40.000 víctimas, según la Oficina Federal de Policía Criminal de Alemania (BKA).
Gootloader, activo desde 2020, se distribuía mediante documentos legales falsos alojados en sitios web comprometidos, con frecuencia páginas hechas con WordPress. En esta fase se dieron de baja 218 dominios y se limpiaron 681 sitios afectados; además, agencias de Estados Unidos y socios internacionales retiraron el malware de más de 100 servidores, incluidos sitios WordPress vulnerados.
CastleRAT, un troyano de acceso remoto conocido desde 2025, permitía a los atacantes controlar equipos infectados de forma remota. La policía incautó 120 de sus servidores y 39 dominios. Por su parte, StealC, un infostealer que extrae contraseñas y credenciales, fue desmantelado de nuevo tras una acción previa en junio de 2026, cuando sus operadores reconstruyeron la infraestructura.
La operación forma parte de Endgame, una campaña policial internacional contra el malware que los delincuentes usan para acceder a computadoras y lanzar ataques de ransomware. Eurojust apoyó el intercambio de información entre fiscalías y participaron más de 30 socios públicos y privados.
Cómo ocurrió
- Confirmado
- Operación EndgamePolicías de nueve países y EuropolConfirmado.
- GootloaderDocumentos legales falsos en sitios comprometidosConfirmado.
- Sitios WordPressPáginas vulneradas alojaban el señueloConfirmado.
- StealCExtraía contraseñas de equipos infectadosConfirmado.
- CastleRATControl remoto de los equipos infectadosConfirmado.
- 6,4 millonesCredenciales aseguradas por las autoridadesConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- Europol y policías de nueve países incautaron 235 servidores y 257 dominios vinculados a Gootloader, CastleRAT y StealC.
- La BKA informó que se aseguraron cerca de 6,4 millones de credenciales robadas pertenecientes a más de 40.000 víctimas.
- El Departamento de Justicia de Estados Unidos confirmó la remoción de Gootloader de más de 100 servidores y la incautación de dominios estadounidenses usados para distribuirlo y controlarlo.
- La policía de Países Bajos cargó los datos robados por CastleRAT en el servicio Check your hack para notificar a las personas afectadas.
- Europol indicó que las credenciales aseguradas se compartirán con plataformas de aviso como HaveIBeenPwned, DIVD, NoMoreLeaks, Sekoia, The Shadowserver Foundation y el centro de ciberseguridad neerlandés.
SIN VERIFICAR O ABIERTO
- Las autoridades advierten que, aunque se hayan incautado los datos, los delincuentes podrían conservar copias de las credenciales robadas.
- Mientras el malware permanezca en un equipo, los atacantes podrían seguir obteniendo contraseñas.
- No se detalló cuántas organizaciones de América Latina o España resultaron afectadas por estas tres herramientas.
Contexto
La Operación Endgame es presentada por Europol como el mayor esfuerzo internacional contra quienes facilitan ataques de ransomware. En junio de 2026, una fase previa afectó a las redes Amadey y StealC: se desactivaron 326 servidores y 142 dominios y se recuperaron cerca de 27 millones de credenciales robadas a más de 385.000 sistemas.
Tras la acción de junio, los operadores de StealC cambiaron su infraestructura y la volvieron a poner en línea. Parte de su infraestructura clave funcionaba en Virtualine/Omegatech, un servicio de alojamiento a prueba de balas que ofrecía sus servicios a delincuentes y fue cerrado a fines de octubre de 2026.
Gootloader infectó millones de computadoras en todo el mundo desde su aparición en 2020, según lo que los investigadores conocen hasta ahora. Se propagaba a través de sitios WordPress vulnerados, por lo que los administradores de esas páginas son un eslabón crítico de la cadena.
Qué hacer
- Revisar sitios WordPress Los administradores deben actualizar el gestor, los temas y los complementos, y corregir vulnerabilidades conocidas para evitar que sus páginas se usen como vector de distribución.
- Cambiar contraseñas reutilizadas Si se usó la misma clave en varios servicios, conviene cambiarla en todos y priorizar los accesos críticos como correo y banca.
- Activar doble factor La verificación en dos pasos reduce el impacto del robo de credenciales, incluso si la contraseña ya fue exfiltrada.
- Consultar avisos de filtración Las personas pueden verificar si sus datos aparecen en los servicios de notificación habilitados por las autoridades y seguir las instrucciones que reciban.
- Desconfiar de documentos legales Gootloader se distribuía con archivos que simulaban documentación legal. Ante correos o descargas inesperadas de ese tipo, conviene no abrirlos y verificar el origen.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
