Europol smantella tre malware: recuperati 6,4 milioni di dati rubati
Una vasta operazione internazionale ha colpito tre delle infrastrutture malware utilizzate per rubare password, prendere il controllo dei computer e preparare attacchi ransomware. Europol ha annunciato il sequestro di 235 server e 257 domini collegati a Gootloader, CastleRAT e StealC, strumenti criminali distribuiti anche attraverso un modello di malware a pagamento. Nei sistemi sequestrati gli investigatori hanno identificato circa 6,4 milioni di insiemi di dati appartenenti alle vittime, comprese credenziali che potevano essere rivendute o riutilizzate per nuovi attacchi.
La nuova fase dell’Operazione Endgame ha coinvolto le forze dell’ordine di Bulgaria, Canada, Danimarca, Germania, Moldavia, Paesi Bassi, Polonia, Regno Unito e Stati Uniti, con il supporto di Europol, Eurojust e partner privati. L’intervento non ha preso di mira soltanto chi utilizza i virus, ma anche le reti che permettono ad altri criminali di acquistarli o noleggiarli. Un aspetto rilevante per chi gestisce siti web riguarda Gootloader: il malware veniva distribuito attraverso pagine legittime compromesse, spesso realizzate con WordPress, trasformate in trappole per gli utenti dei motori di ricerca.
Operazione Endgame: 235 server e 257 domini sequestrati
L’azione coordinata annunciata il 12 novembre 2026 rappresenta una nuova tappa di Endgame, l’iniziativa internazionale che dal 2024 cerca di smantellare le infrastrutture utilizzate per facilitare gli attacchi ransomware.
L’obiettivo è interrompere la catena di fornitura del cybercrimine. Un gruppo può sviluppare un programma malevolo, un altro distribuirlo e un terzo sfruttare gli accessi rubati per chiedere riscatti o sottrarre denaro. Colpire i server e i domini dei fornitori rende più difficile il lavoro di tutti gli altri operatori.
Le autorità hanno recuperato milioni di dati di accesso e materiale utile alle indagini. Questo non significa che siano stati individuati 6,4 milioni di individui differenti: un insieme di dati può contenere più credenziali e una stessa persona può comparire più volte. Il numero va quindi letto come quantità di dati o record individuati, non come conteggio certo di persone distinte.
Gootloader: documenti falsi distribuiti attraverso siti WordPress
Gootloader è un malware che facilita l’installazione di altre minacce sui computer. Gli aggressori lo diffondevano anche attraverso falsi documenti legali pubblicati su siti autentici precedentemente compromessi.
La tecnica era particolarmente insidiosa perché i contenuti potevano comparire nei risultati dei motori di ricerca. Un utente alla ricerca di un contratto, un modello di documento o un’informazione giuridica poteva aprire un sito apparentemente affidabile e scaricare un file malevolo.
Molti dei portali coinvolti utilizzavano WordPress. Durante l’operazione sono stati rimossi 218 domini legati a Gootloader e sono stati bonificati 681 siti compromessi.
Per chi amministra un sito WordPress, il caso dimostra che una vulnerabilità non mette a rischio soltanto il proprietario del portale: un sito violato può diventare un canale per infettare i visitatori e danneggiare la reputazione del dominio.
CastleRAT: il trojan che permette di controllare il computer
Il secondo bersaglio dell’operazione è CastleRAT, un trojan di accesso remoto conosciuto almeno dal 2025. Una volta installato, permette agli aggressori di controllare un sistema a distanza ed eseguire ulteriori operazioni malevole.
Questo tipo di accesso è particolarmente pericoloso nelle reti aziendali. Un criminale può sfruttarlo per muoversi tra i dispositivi, raccogliere informazioni, installare altri programmi e preparare un attacco ransomware.
CastleRAT è stato associato a episodi di cifratura dei dati, blocco di sistemi informatici e richieste di riscatto. Gli investigatori hanno colpito l’infrastruttura utilizzata per gestire questi accessi, sottraendo ai criminali una parte importante dei loro strumenti.
Leggi anche:
StealC: password e credenziali rubate dai browser
StealC è invece un infostealer, cioè un programma progettato per sottrarre informazioni dai dispositivi infetti. Il suo obiettivo comprende password salvate, dati di accesso, identità digitali e altre informazioni sensibili.
Le credenziali sottratte possono essere utilizzate direttamente oppure rivendute ad altri criminali. Un accesso rubato a una casella email, per esempio, può consentire di tentare il ripristino delle password di altri servizi. Un account aziendale compromesso può diventare il punto d’ingresso per un attacco più ampio.
L’intervento contro StealC prosegue le azioni già avviate nel giugno 2026, quando un’altra fase di Endgame aveva colpito infrastrutture malware e permesso di recuperare ulteriori credenziali.
Come verificare se le tue password sono state rubate
I dati recuperati dalle autorità potranno essere utilizzati per avvisare le persone e le organizzazioni coinvolte. Tra i servizi indicati figurano Have I Been Pwned, Shadowserver e altre piattaforme specializzate nella notifica delle compromissioni.
Puoi controllare se il tuo indirizzo email compare in violazioni note attraverso Have I Been Pwned. Non trovare un risultato non garantisce che le tue credenziali siano al sicuro: le informazioni recuperate potrebbero non essere ancora state pubblicate o non essere presenti nel servizio consultato.
Se ricevi una segnalazione credibile, cambia la password dell’account interessato e di tutti i servizi nei quali l’hai riutilizzata. Attiva inoltre l’autenticazione a più fattori e verifica le sessioni aperte sui tuoi account.
Se sospetti che un computer sia stato infettato da un infostealer, cambiare le password dal dispositivo compromesso potrebbe non bastare. È opportuno effettuare le operazioni da un sistema affidabile e sottoporre il computer a una verifica di sicurezza approfondita.
WordPress nel mirino: cosa deve fare chi gestisce un sito
La diffusione di Gootloader attraverso portali compromessi rende particolarmente importante la sicurezza di WordPress. Gli amministratori dovrebbero aggiornare WordPress, temi e plugin, eliminare componenti inutilizzati e correggere tempestivamente le vulnerabilità note.
È utile verificare gli account con privilegi amministrativi, attivare l’autenticazione a due fattori e controllare l’eventuale presenza di file sconosciuti, pagine spam o modifiche sospette. I backup devono essere conservati in modo sicuro e periodicamente verificati.
Anche l’analisi dei risultati indicizzati dai motori di ricerca può aiutare a individuare pagine non autorizzate. Un sito compromesso potrebbe pubblicare contenuti malevoli senza mostrarli immediatamente all’amministratore, soprattutto quando gli aggressori cercano di attirare visitatori da ricerche specifiche.
Le autorità hanno invitato esplicitamente chi utilizza WordPress a rafforzare le credenziali, adottare la verifica in due passaggi e correggere le falle di sicurezza.
Le reti sono state smantellate: il pericolo è finito?
Il sequestro di server e domini rappresenta un risultato importante, ma non significa che tutte le infezioni già presenti sui computer siano state automaticamente eliminate. Un dispositivo compromesso può continuare a richiedere un intervento di bonifica.
Allo stesso modo, i criminali possono tentare di ricostruire le proprie infrastrutture o utilizzare altri strumenti. Il valore di Endgame sta nel rendere più difficile e costoso l’accesso a servizi criminali che alimentano furti di dati e ransomware.
Per gli utenti, la difesa più efficace resta una combinazione di aggiornamenti, password uniche, autenticazione a più fattori e prudenza nei download. Per le aziende e i proprietari di siti web, è fondamentale aggiungere monitoraggio, backup e controllo degli accessi.
L’operazione mostra quanto il furto di password sia diventato un’attività organizzata su scala industriale: milioni di dati sottratti possono circolare tra gruppi differenti e alimentare nuovi attacchi, anche molto tempo dopo l’infezione iniziale.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.