Las fuerzas de seguridad internacionales vincularon la acción a la llamada Operación Endgame, una campaña coordinada contra infraestructuras de malware que permiten el acceso remoto, el robo de credenciales y la distribución posterior de ransomware. Según comunicados de las autoridades, en la intervención se incautaron cientos de servidores y decenas de dominios que gestionaban los tres paquetes maliciosos.
Qué son Gootloader, CastleRAT y StealC y cómo actuaban
Gootloader es un «loader»: una pieza de malware diseñada para descargar y ejecutar otros programas maliciosos en equipos comprometidos. Se propagaba mediante documentos legales falsos alojados en sitios web comprometidos —con frecuencia instalaciones de WordPress— y empleaba técnicas de SEO poisoning para que esas páginas aparecieran alto en resultados de búsqueda y atraer víctimas.
CastleRAT es un troyano de acceso remoto (RAT) que permite a un atacante controlar un equipo infectado a distancia, ejecutar comandos y desplegar software adicional.
StealC es un infostealer centrado en la exfiltración de credenciales: extrae contraseñas, cookies y otros datos de acceso de navegadores y aplicaciones para venderlos o usarlos en ataques posteriores.
Alcance de la incautación y acciones concretas
- Las autoridades reportaron la toma de 235 servidores y 257 dominios entre las tres amenazas, con acciones puntuales como la eliminación de la carga maliciosa en cientos de sitios comprometidos.
- Para Gootloader se desactivaron múltiples servidores y se retiró el malware de cientos de sitios web infectados; en EEUU y otros países se procedió a incautar dominios usados para controlar y distribuir la amenaza.
- En el caso de CastleRAT y StealC también se desmantelaron servidores y se retiraron dominios; StealC ya había sido objeto de una operación previa en junio y su infraestructura fue restaurada por sus operadores antes de este nuevo golpe.
- La policía compartirá las credenciales recuperadas con servicios y proyectos de notificación para avisar a las víctimas y permitir medidas de remediación.
Impacto y datos sobre víctimas
Las autoridades indicaron que se aseguran aproximadamente 6,4 millones de credenciales robadas, que pertenecen a más de 40.000 víctimas registradas en las bases intervenidas. Estas credenciales pueden incluir correos electrónicos y contraseñas y se están repartiendo a plataformas y organizaciones que facilitan la notificación a afectados y la investigación (por ejemplo, bases de datos de comprobación de filtraciones y organizaciones de respuesta a incidentes).
Qué deben hacer los administradores y dueños de sitios web
- Revisar y limpiar servidores y sitios: si su WordPress u otro CMS estuvo comprometido, inspeccione archivos, plugins y usuarios para detectar backdoors y cambios no autorizados.
- Cambiar contraseñas y forzar restablecimientos: todas las credenciales potencialmente comprometidas deben rotarse; habilite la autenticación multifactor cuando sea posible.
- Comprobar servicios de notificación: utilice servicios oficiales de comprobación de filtraciones o canales policiales cuando estén disponibles para saber si correos o cuentas suyas aparecen en los datos intervenidos.
- Actualizar y endurecer: aplique parches del CMS, plugins y componentes del servidor; restrinja accesos por contraseña y emplee listas de control de acceso y monitoreo de integridad de archivos.
- Colaborar con equipos de respuesta: si detecta signos de infección (tráfico inusual, procesos extraños, nuevas cuentas administrativas), contacte con su equipo de seguridad o proveedor de respuesta a incidentes.
Nota: aunque las autoridades hayan incautado los datos, los delincuentes pueden seguir teniendo copias y los sistemas seguir comprometidos; eliminar el malware de los equipos es imprescindible para dejar de filtrar credenciales.
Europol y las agencias nacionales seguirán añadiendo información a la investigación y compartiendo las bases con proyectos públicos y con proveedores que envíen avisos a las cuentas afectadas. Las autoridades no anunciaron detenciones en la última fase de la operación, y las investigaciones continúan en varios países.
Lee también:
- ¿Está empeorando la ciberseguridad el uso excesivo de IA?
- Vulnerabilidad crítica en UnrealIRCd permite inyección de comandos con privilegios de servidor
Fuente: The Hacker News
