Europol ha anunciado este jueves 12 de noviembre una operación policial de gran alcance: la última fase de la Operation Endgame ha desmantelado la infraestructura de tres familias de malware —Gootloader, CastleRAT y StealC— con la incautación de 235 servidores y 257 dominios en una acción coordinada entre nueve países. En los sistemas intervenidos, las autoridades encontraron 6,4 millones de conjuntos de datos de víctimas: credenciales robadas que se vendían para fraudes y brechas de ransomware.
No es un golpe contra un grupo concreto, sino contra la cadena de suministro del cibercrimen. Estas tres familias no cifraban archivos ni pedían rescates: su negocio era abrir la puerta y vender el acceso. Sin ellas, muchos ataques de ransomware pierden su punto de entrada más barato.
Qué se ha desmantelado
La operación reunió a las fuerzas policiales de Bulgaria, Canadá, Dinamarca, Alemania, Moldavia, Países Bajos, Polonia, Reino Unido y Estados Unidos, coordinadas por Europol y Eurojust, con el apoyo de socios del sector privado.
Gootloader, un cargador de malware activo desde 2020, se propagaba con documentos que imitaban escritos legales, alojados en sitios web comprometidos, a menudo con WordPress. Quien lo descargaba quedaba infectado, y el cargador instalaba después otras cargas, incluido ransomware. La operación se saldó con 14 servidores y 218 dominios incautados, además de la limpieza de 681 sitios web infectados.
CastleRAT, un troyano de acceso remoto documentado desde 2025, permitía controlar ordenadores infectados a distancia. Europol lo vincula con ataques que cifraron datos, paralizaron sistemas y obligaron a pagar rescates. Se incautaron 120 servidores y 39 dominios.
StealC, un ladrón de información, extraía contraseñas, credenciales guardadas, monederos de criptomonedas y otras identidades digitales de los equipos infectados. Las autoridades desmantelaron 102 servidores vinculados a StealC, continuando el trabajo iniciado en junio de 2026 contra esta misma familia.
6,4 millones de credenciales en manos de la policía
El hallazgo más relevante no es la infraestructura incautada, sino lo que había dentro: más de 6 millones de credenciales de víctimas en los sistemas intervenidos. Según Europol, los sospechosos las vendían para que se usaran después en otros ciberataques, entre ellos brechas de ransomware.
Los datos de las víctimas de CastleRAT se compartirán con plataformas de notificación (Have I Been Pwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, Shadowserver y NL-NCSC), que avisarán a los afectados. Europol ha instado además a los usuarios de WordPress a cambiar sus credenciales, activar la autenticación multifactor y parchear sus sitios.
Operation Endgame: una campaña que no se detiene
En junio de 2026, la misma operación limpió casi 15.000 sitios de WordPress infectados e incautó 106 servidores de la botnet SocGholish y del grupo ruso Evil Corp; otra fase intervino 326 servidores y 142 dominios de Amadey y StealC y recuperó unos 27 millones de credenciales de más de 385.000 sistemas comprometidos. Hace un año, la operación derribó más de 1.000 servidores de las botnets Rhadamanthys, VenomRAT y Elysium.
El patrón es claro: Operation Endgame ataca el modelo de negocio del cibercrimen como servicio. Cada fase retira del mercado herramientas que otros delincuentes alquilaban para entrar en redes ajenas, aunque los operadores reconstruyen su infraestructura y las fases se repiten cada pocos meses.
Qué hacer: recomendaciones
Si eres usuario particular: consulta Have I Been Pwned (haveibeenpwned.com) con tus correos y, si hay una alerta, cambia esa contraseña desde un dispositivo limpio. Cambia también las contraseñas reutilizadas —empieza por el correo, la banca y el trabajo— y activa la autenticación multifactor. Y no descargues supuestos documentos legales de enlaces extraños: Gootloader se propagaba justo así.
Si gestionas un sitio WordPress: cambia las credenciales de administrador, activa el MFA y actualiza WordPress, los plugins y los temas. Revisa además si tu sitio sirve descargas que no reconoces: 681 webs fueron limpiadas en esta operación porque servían malware sin saberlo sus propietarios.
La mirada del SOC: qué vigilar
- Listas de credenciales comprometidas. Los 6,4 millones de conjuntos de datos acabarán en fuentes de inteligencia de amenazas. Un SOC debería cruzar las cuentas corporativas con las filtraciones publicadas y forzar el cambio de contraseña de cualquier coincidencia, empezando por las privilegiadas y las de VPN.
- Dominios e IPs incautadas. Los 257 dominios intervenidos pasan a control policial, pero los operadores levantarán infraestructura nueva. Conviene vigilar resoluciones DNS hacia dominios recién registrados que imiten los patrones de Gootloader y bloquear en el proxy las descargas desde sitios WordPress comprometidos.
- Detección en el endpoint. Gootloader y StealC dependen de la ejecución inicial: un documento que descarga una segunda fase. Las reglas de EDR que detectan procesos hijos sospechosos de lectores de PDF o de Office, y las conexiones salientes a dominios recién registrados, siguen siendo la mejor red de seguridad.
- El efecto rebote. Cada fase deja un hueco que otros grupos intentan ocupar. Es esperable más actividad de otros loaders e infostealers en las próximas semanas, y phishing que aproveche la noticia suplantando a Europol o a Have I Been Pwned. Ninguna alerta legítima pedirá descargar un archivo ni introducir credenciales en un enlace.
La operación es un golpe real contra la infraestructura del ransomware, pero no elimina el riesgo: las credenciales ya robadas seguirán circulando y los operadores reconstruirán sus redes. La ventana que abre hay que aprovecharla para cambiar contraseñas, revisar accesos y cerrar las puertas que estos grupos usaban para entrar.
Fuentes
- BleepingComputer — «Police dismantle Gootloader, CastleRAT, StealC malware infrastructure»
- Europol — «6.4 million victim datasets secured in international operation against malware networks»
- Help Net Security — «Operation Endgame malware takedown turns up over 6 million stolen logins»
- Cyber Insider — «Police recover 6.4 million stolen records in malware takedown»