Europol smantella le reti di Gootloader, CastleRAT e StealC: recuperate 6,4 milioni di credenziali

In sintesi

• Europol colpisce tre importanti infrastrutture malware. La nuova fase di Operation Endgame porta alla neutralizzazione di 235 server e 257 domini collegati a Gootloader, CastleRAT e StealC.
• Le autorità recuperano circa 6,4 milioni di dataset delle vittime. I dati comprendono oltre 6 milioni di credenziali sottratte attraverso le infezioni, destinate alla rivendita e a ulteriori attacchi informatici.
• Gootloader perde 218 domini e 681 siti compromessi vengono bonificati. L’operazione coinvolge autorità di nove Paesi e partner privati, con nuove procedure di notifica alle vittime.

Europol ha annunciato il 12 novembre 2026 una nuova offensiva internazionale contro le infrastrutture utilizzate dai criminali informatici per distribuire malware, rubare credenziali e preparare attacchi ransomware. L’operazione, condotta nell’ambito di Operation Endgame, ha colpito tre strumenti centrali dell’ecosistema cybercriminale: Gootloader, CastleRAT e StealC. Le autorità, insieme ai partner privati, hanno neutralizzato 235 server e 257 domini, recuperando circa 6,4 milioni di dataset riconducibili alle vittime. Si tratta di un intervento diretto contro il modello cybercrime-as-a-service, nel quale gruppi differenti acquistano o utilizzano strumenti specializzati per ottenere accesso ai sistemi, controllare computer compromessi e sottrarre informazioni. L’operazione non punta soltanto a interrompere singole infezioni, ma a smantellare l’infrastruttura tecnica che consente ai criminali di trasformare migliaia di dispositivi compromessi in una filiera organizzata di attacchi.

Operation Endgame neutralizza 235 server e 257 domini criminali

Il comunicato ufficiale Europol del 12 novembre conferma un intervento coordinato contro le infrastrutture di tre famiglie malware, con il coinvolgimento di autorità giudiziarie, forze di polizia e società private specializzate nella sicurezza informatica. Le operazioni riguardano 235 server e 257 domini, mentre le attività di bonifica hanno interessato anche centinaia di siti web compromessi. Il modello operativo è quello sviluppato nelle precedenti fasi di Endgame: identificare i sistemi utilizzati dagli aggressori, sequestrare o disattivare i domini, raccogliere informazioni investigative e recuperare i dati necessari per avvisare le vittime. La strategia era già emersa nell’operazione Endgame di giugno contro SocGholish, Amadey e StealC, quando erano state recuperate 27 milioni di credenziali compromesse. Il nuovo comunicato presenta però una discrepanza nei conteggi dei server: il totale generale è di 235, mentre i dettagli relativi ai tre malware indicano rispettivamente 14, 120 e 102 server, per una somma di 236. Europol non chiarisce nel testo se vi siano sovrapposizioni oppure una differenza di rendicontazione. Il riferimento complessivo rimane quindi quello ufficiale di 235 server, senza sommare automaticamente i tre valori parziali.

Gootloader, 218 domini disattivati e 681 siti web bonificati

Gootloader rappresenta uno dei principali strumenti di accesso iniziale utilizzati dagli operatori ransomware. Il malware viene distribuito attraverso siti compromessi, spesso realizzati con WordPress, che ospitano documenti apparentemente legittimi. Gli utenti cercano contratti, modelli legali o altre informazioni professionali e vengono indirizzati verso file contenenti codice malevolo. Una volta eseguito, il programma permette agli aggressori di introdurre ulteriori componenti e preparare la compromissione del sistema. Europol comunica la disattivazione di 14 server e 218 domini associati a Gootloader, oltre alla bonifica di 681 siti web infetti. La tecnica sfrutta la fiducia accordata ai risultati di ricerca e ai siti apparentemente affidabili, trasformando una normale attività professionale in un possibile punto d’ingresso per un attacco. La capacità del malware di aggirare i controlli era già stata documentata attraverso gli archivi ZIP deliberatamente malformati utilizzati da Gootloader per eludere gli strumenti di rilevamento. Il collegamento con i siti WordPress compromessi è particolarmente importante per le aziende italiane: un sito vulnerabile può diventare inconsapevolmente un distributore di malware, mettendo a rischio i visitatori anche quando il proprietario non partecipa all’attività criminale.

Leggi anche: Gootloader torna attraverso Google Ads e falsi documenti legali

CastleRAT perde 120 server: colpita la rete di controllo remoto

CastleRAT è un trojan di accesso remoto conosciuto dal 2025, progettato per consentire agli aggressori di controllare i dispositivi infetti e utilizzarli per ulteriori attività criminali. Europol annuncia il sequestro di 120 server e 39 domini associati alla sua infrastruttura. Secondo l’agenzia, l’utilizzo del malware ha contribuito a operazioni che hanno provocato cifratura di dati, interruzioni di sistemi informatici e richieste di riscatto alle organizzazioni colpite. Il rapporto tra accesso remoto e ransomware è fondamentale: una RAT non deve necessariamente cifrare direttamente i file per essere parte della catena di un’estorsione. Può consentire agli operatori di eseguire comandi, raccogliere informazioni, mantenere accessi persistenti e distribuire strumenti successivi. L’evoluzione della famiglia era già stata ricostruita nell’analisi su TAG-150 e sul passaggio da CastleLoader a CastleRAT, che descriveva un’architettura modulare e infrastrutture di comando e controllo articolate su più livelli. La disattivazione dei server comunicata da Europol colpisce quindi una componente centrale del sistema di gestione delle infezioni, anche se non dimostra automaticamente che ogni dispositivo precedentemente compromesso sia stato bonificato.

StealC, altri 102 server neutralizzati dopo l’offensiva di giugno

StealC rappresenta il segmento dedicato al furto delle informazioni personali e delle identità digitali. Il malware è un infostealer dotato anche di funzionalità di distribuzione di ulteriori componenti malevoli. Il suo obiettivo principale consiste nel sottrarre password, credenziali memorizzate, dati di autenticazione e altre informazioni sensibili dai dispositivi compromessi. I dati vengono successivamente commercializzati oppure utilizzati direttamente per frodi, accessi abusivi e nuove intrusioni. Europol comunica la neutralizzazione di 102 server riconducibili a questa infrastruttura, proseguendo le attività già condotte nel giugno 2026. La famiglia StealC era stata sviluppata come servizio criminale, con funzionalità modulari e pannelli di gestione destinati agli operatori. Un precedente significativo riguarda la vulnerabilità XSS individuata dagli analisti nei pannelli di StealC, che aveva permesso di sottrarre cookie agli stessi criminali. L’episodio mostrava come le infrastrutture del cybercrime possano presentare vulnerabilità utilizzabili per attività investigative. La nuova operazione sposta però l’intervento sul piano giudiziario e infrastrutturale, con azioni coordinate sui server impiegati per ricevere e gestire i dati rubati.

Recuperate 6,4 milioni di dataset: come saranno avvisate le vittime

Il dato più rilevante riguarda le informazioni sequestrate alle reti criminali. Europol parla di circa 6,4 milioni di dataset delle vittime e precisa che nell’infrastruttura sono state identificate oltre 6 milioni di credenziali sottratte. Le informazioni erano state raccolte attraverso le infezioni e potevano essere vendute oppure riutilizzate per ulteriori attacchi, compresi quelli ransomware. Questi numeri non corrispondono necessariamente a 6,4 milioni di persone distinte: una stessa vittima può comparire in più raccolte o possedere numerose credenziali compromesse. Il comunicato non pubblica un conteggio verificato degli individui unici coinvolti. Le autorità intendono utilizzare i dati recuperati per avvisare gli interessati attraverso servizi e organizzazioni come Have I Been Pwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, Shadowserver Foundation e NL-NCSC. La finalità è rendere possibile l’individuazione delle credenziali compromesse e favorire interventi tempestivi. Gli utenti che ricevono una segnalazione attendibile dovrebbero sostituire le password interessate, evitare il riutilizzo delle stesse credenziali e attivare l’autenticazione multifattore. La modifica della password, tuttavia, non rimuove un eventuale malware ancora presente sul dispositivo: in caso di infezione confermata è necessaria anche una verifica tecnica del sistema.

Nove Paesi partecipano all’operazione coordinata da Europol ed Eurojust

Le attività coinvolgono le autorità di Bulgaria, Canada, Danimarca, Germania, Moldova, Paesi Bassi, Polonia, Regno Unito e Stati Uniti. Europol ha contribuito attraverso l’European Cybercrime Centre (EC3), fornendo intelligence sulle minacce, supporto alle indagini finanziarie e assistenza per le notifiche alle vittime. Eurojust ha sostenuto il coordinamento giudiziario e lo scambio di informazioni tra le autorità coinvolte. La collaborazione comprende oltre 30 partner pubblici e privati, un modello che consente di unire poteri investigativi, capacità di analisi e interventi tecnici sulle infrastrutture criminali. Il comunicato non annuncia arresti nell’ambito di questa specifica fase e non identifica pubblicamente gli operatori delle tre famiglie malware. Sarebbe quindi improprio presentare l’intervento come la definitiva eliminazione dei gruppi che utilizzavano questi strumenti. L’obiettivo immediato consiste nel ridurre la capacità operativa delle reti criminali, interrompendo servizi e canali sui quali si appoggiavano numerose campagne.

Continua con: Operation Endgame colpisce SocGholish e ripulisce quasi 15.000 siti WordPress

Colpire i servizi criminali significa ostacolare gli attacchi prima del ransomware

La nuova offensiva dimostra che il contrasto al ransomware non può limitarsi a inseguire i gruppi che cifrano i dati. Prima dell’estorsione esiste una filiera di servizi specializzati: i loader consentono l’accesso iniziale, le RAT permettono di controllare le macchine compromesse e gli infostealer raccolgono credenziali da sfruttare o rivendere. Neutralizzare contemporaneamente Gootloader, CastleRAT e StealC significa intervenire su più passaggi di questo processo, aumentando i costi per gli attaccanti e rendendo più difficile il riutilizzo delle infrastrutture. Il recupero delle credenziali offre inoltre alle vittime una possibilità concreta di intervenire prima che i dati sottratti vengano utilizzati nuovamente. Resta però un limite strutturale: i server possono essere sequestrati e i domini disattivati, ma le informazioni già diffuse e gli accessi ottenuti in precedenza possono continuare a rappresentare un rischio. Operation Endgame riduce quindi le capacità operative del cybercrime organizzato, senza cancellare automaticamente le conseguenze delle compromissioni già avvenute.